如何在Golang中处理容器网络策略_限制Pod间通信安全-Golang-PHP中文网

如何在Golang中处理容器网络策略_限制Pod间通信安全

P粉602998670

发布： 2025-12-23 19:45:08

原创

829人浏览过

Go不执行NetworkPolicy，而是通过client-go操作API声明策略；策略由CNI插件（如Calico）执行，需指定命名空间、标签、端口等，遵循“默认拒绝”原则。

如何在golang中处理容器网络策略_限制pod间通信安全

在 Kubernetes 中，NetworkPolicy 是控制 Pod 间网络通信的核心机制，Golang 本身不直接“处理”网络策略——它不参与策略的执行，但你可以在 Go 编写的控制器、Operator 或 CLI 工具中 定义、校验、部署或管理 NetworkPolicy 资源。关键在于：用 Go 操作 Kubernetes API 来声明和维护这些策略。

理解 NetworkPolicy 的作用边界

NetworkPolicy 是 Namespace 级别的 NetworkPolicy 对象，由 CNI 插件（如 Calico、Cilium、kube-router）实际执行。Go 程序只需按标准格式构造 YAML/JSON 并提交给 kube-apiserver，无需实现底层包过滤逻辑。

只对 支持 NetworkPolicy 的 CNI 插件 生效（默认 kubenet 不支持）
默认 允许所有入站/出站流量；策略是“默认拒绝，显式放行”
只能基于 标签（labels）、命名空间、IPBlock、端口 进行匹配，不支持域名或应用层规则

用 Go 定义并创建一个基础限制策略

以下是一个典型场景：只允许 frontend 命名空间中的带 app=web 标签的 Pod 访问 backend 命名空间中 app=api 的 Pod 的 8080 端口。

使用 kubernetes/client-go 实现：

立即学习“go语言免费学习笔记（深入）”；

论小文

可靠的论文写作助手，包含11种学术写作类型，万字论文一键生成，可降重降AIGC，参考文献真实可标注，图表代码均可自定义添加。

435

查看详情

import (
    metav1 "k8s.io/apimachinery/pkg/apis/meta/v1"
    networkingv1 "k8s.io/api/networking/v1"
    "k8s.io/client-go/kubernetes"
)

policy := &networkingv1.NetworkPolicy{
    ObjectMeta: metav1.ObjectMeta{
        Name:      "allow-web-to-api",
        Namespace: "backend", // 策略作用于 backend 命名空间
    },
    Spec: networkingv1.NetworkPolicySpec{
        PodSelector: metav1.LabelSelector{
            MatchLabels: map[string]string{"app": "api"},
        },
        PolicyTypes: []networkingv1.PolicyType{"Ingress"},
        Ingress: []networkingv1.NetworkPolicyIngressRule{{
            From: []networkingv1.NetworkPolicyPeer{{
                NamespaceSelector: &metav1.LabelSelector{
                    MatchLabels: map[string]string{"name": "frontend"},
                },
                PodSelector: &metav1.LabelSelector{
                    MatchLabels: map[string]string{"app": "web"},
                },
            }},
            Ports: []networkingv1.NetworkPolicyPort{{
                Protocol: &protocol,
                Port:     &intstr.FromInt(8080),
            }},
        }},
    },
}

_, err := clientset.NetworkingV1().NetworkPolicies("backend").Create(context.TODO(), policy, metav1.CreateOptions{})

登录后复制