Revisión de manifiestos con permisos de red

Con el ajuste de red del nodo (hostNetwork), el pod comparte la red del nodo: ve sus interfaces, usa su dirección y puede alcanzar servicios que escuchan solo en el propio nodo. Las políticas de red están pensadas para pods con red propia; qué hacen con un pod que usa la red del nodo depende del complemento de red, y la documentación de Kubernetes lo trata como un caso aparte. Los estándares de seguridad de pods lo prohíben en su perfil base.

Un revisor no afirma «la política lo cubre»: pregunta qué dice el complemento y lo anota como no verificado si no tiene la respuesta.

El ajuste de red del nodo suele ir acompañado de otro, hostPort, que expone un puerto del nodo directamente. Son los dos ajustes que cambian la superficie de red de una carga sin tocar ninguna política, y por eso la columna del manifiesto se mira antes que la política.

Consulta la tabla cargas y fíjate en usa_la_red_del_nodo y puerto_en_el_nodo.

Las capacidades de Linux dividen los privilegios del administrador en piezas. Hay capacidades de red: una permite administrar la red del contenedor (interfaces, rutas, reglas) y otra abrir sockets de bajo nivel. Un contenedor que las recibe puede hacer cosas que una política de red no ve ni limita, como cambiar su propia configuración de red. La práctica sana es retirarlas todas y añadir solo la estrictamente necesaria; la de enlazar puertos bajos, por ejemplo, es una de las pocas con motivo claro.

Consulta la tabla cargas y la columna capacidades_anadidas.

Una política es tan fuerte como el permiso para cambiarla. Un rol con verbos de escritura sobre las políticas de red (create, update, patch, delete) puede debilitarlas o quitarlas, y si el rol vale para todo el clúster, la protección de cada espacio depende de quien tenga esa credencial: a menudo, una cuenta de la herramienta de despliegue.

Consulta la tabla roles.

El hallazgo se convierte en una petición concreta y verificable al equipo de la carga. La que se puede comprobar con una sola línea del manifiesto es mejor que la que pide «más cuidado».