Políticas de red, aislamiento por defecto

Un pod está aislado de entrada solo si existe al menos una política de red que lo selecciona y declara el tipo Ingress; está aislado de salida si alguna lo selecciona y declara Egress. Mientras ningún tipo lo cubra, el pod acepta y hace todas las conexiones. Una vez aislado en un sentido, solo pasa lo que las políticas permiten explícitamente.

Dos consecuencias: la política crea el aislamiento al seleccionar, y las políticas son aditivas: no hay reglas de denegar ni orden de evaluación; lo permitido es la unión de lo que permite cada una. Y una tercera condición: la política solo tiene efecto si el complemento de red del clúster la implementa; crear el recurso sin eso no hace nada.

La denegación por defecto se escribe con una política que selecciona todos los pods del espacio (un selector vacío) y declara el tipo, sin ninguna regla de permitir. A partir de ahí cada comunicación necesaria se abre con una política propia. Un espacio sin ninguna política es el caso extremo: todo lo que corre en él está abierto de entrada y de salida.

Consulta la tabla espacios y fíjate en la columna politicas_en_el_espacio.

En una regla de entrada, namespaceSelector y podSelector pueden ir en el mismo elemento de la lista from (se exigen los dos criterios: Y) o en elementos separados (basta cualquiera: O). La diferencia es de una sola raya de guion en el manifiesto y cambia el resultado por completo: con O, la regla admite a todos los pods del otro espacio.

Y como las políticas se suman, una regla amplia anula a la estricta que la acompaña. Consulta la tabla politicas y lee con cuidado la columna permite de las reglas del espacio de pagos.

Denegar la salida por defecto es sano: limita adónde puede llamar un pod comprometido. Pero deja también sin salida la consulta de nombres, y los pods dejan de encontrarse por su nombre de servicio, aunque la red funcione. La política de salida debe abrir de forma explícita el servicio de nombres del clúster, por el puerto 53, para UDP y TCP.

El resumen de una revisión de políticas suele ser un número: cuántos espacios tienen denegación por defecto de entrada y cuántos no. Es lo que dice, de un vistazo, cuánto del clúster se defiende solo.

Consulta la tabla espacios y cuenta.