引言

在容器化部署日益普及的今天，细粒度的网络访问控制成为保障业务安全的核心环节。合理的容器网络策略不仅能隔离不同服务、降低攻击面，还能提升运维效率。以下五大技巧，帮助运维与开发人员高效配置容器网络访问管控。

一、默认拒绝一切，按需放行

在Kubernetes集群中，建议先创建一条默认拒绝所有入站和出站流量的NetworkPolicy，再针对特定Pod添加白名单规则。这样可以避免因配置遗漏导致的非授权访问。

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: default-deny-all
spec:
  podSelector: {}
  policyTypes:
  - Ingress
  - Egress

之后，再通过podSelector和namespaceSelector精确允许业务通信。

二、基于命名空间与标签实施分段隔离

利用Kubernetes的Namespace和Label机制，可将不同环境（如生产/测试）或不同业务线（如支付/订单）划入独立命名空间，并通过NetworkPolicy的namespaceSelector和podSelector交叉控制。例如：只允许app: frontend标签的Pod访问app: backend标签的Pod。

三、精细控制端口与协议

在NetworkPolicy的ports字段中明确指定允许的端口号（如80、443）和协议（TCP/UDP），避免开放非必要端口。例如：

ingress:
- from:
  - podSelector:
      matchLabels:
        app: api-gateway
  ports:
  - port: 8080
    protocol: TCP

该规则仅允许来自api-gateway标签Pod的TCP 8080请求。

四、管控出口流量，防止数据泄露

除了入口，出口（Egress）策略同样重要。通过Egress NetworkPolicy可以限制Pod只能访问特定外部域名（通过IPBlock或DNS解析）。适用于禁止内部服务直接访问公网、强制流量经代理等场景。

五、借助服务网格实现七层精细化管控

对于HTTP、gRPC等七层协议的访问控制，单靠NetworkPolicy（仅四层）力不从心。推荐集成Istio、Linkerd等服务网格，通过AuthorizationPolicy、PeerAuthentication等CRD实现基于请求路径、头信息、JWT认证的精细管控。例如：只允许以/api/v2开头的请求访问某个服务。

以上技巧需结合具体CNI插件（如Calico、Cilium）的能力灵活运用。建议在测试环境充分验证策略后再上线，并定期审查规则以适配业务变化。