我应该在Kubernetes面前添加DMZ吗？

Question

Kubernetes Ingress是否足够安全，以避免在Kubernetes面前添加DMZ以暴露Pods和服务？ 如果有人“入侵”Pod，会发生什么？

谢谢。

Answer 1

这是一个意见问题，所以我会回答一个选项。

如果您遵循群集的标准安全实践 ，则非常安全。 但没有什么是100％安全的。 因此添加DMZ有助于减少攻击媒介。

就保护Ingress免受外部攻击而言，您可以将外部负载均衡器的访问权限限制为HTTPS，大多数人都这样做，但请注意HTTPS和您的应用程序本身也可能存在漏洞。

对于您的pod和工作负载，您可以使用精心设计的seccomp配置文件和/或在pod安全上下文中添加正确的功能来提高安全性（以一些性能成本）。 您还可以使用AppArmor或SELinux添加更多安全性，但很多人不会，因为它会变得非常复杂。

Docker还有其他替代方案，以便更容易地对您的pod进行沙盒化（在撰写本文时仍处于生命周期的早期阶段）： Kata Containers ， Nabla Containers和gVisor 。

Answer 2

这是一个非常开放的问题。 在Google Cloud中，我认为Ingress通常是Google云负载均衡器。 据推测，与您管理的DMZ相比，云负载均衡器非常安全。 k8s Ingress通常也会限制为HTTP流量，因此通过入口“hack”可能需要利用应用层漏洞。 这在很大程度上取决于您的具体设置。

在Pod安全性方面，在Pod中获得执行访问权限会很糟糕。 Docker没有任何有意义的安全或有意义的沙盒。 同样，这取决于您的设置，但作为一个明确的类比：不建议使用k8s Pod来运行不受信任的代码。