Kubernetes 網絡策略 - 允許特定 IP

Question

我在 IBM 雲上使用 Kubernetes。

我想創建一個網絡策略，拒絕與 pod 的所有傳入連接（在端口 3000 上公開應用程序），但只允許來自特定 IP (MY_IP) 的傳入連接。

我是這樣寫的：

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
name: <MY_POLICY_NAME>
namespace: <MY_NAMESPACE>
spec:
  podSelector:
    matchLabels:
      app: <MY_APP>
      env: <MY_ENV>
  policyTypes:
  - Ingress
  ingress:
  - from:
    - ipBlock:
        cidr: <MY_IP>/24
        except:
        - <MY_IP>/32
    ports:
    - protocol: TCP
    port: 3000

不幸的是，這不起作用，因為它阻止了所有連接。

我怎樣才能解決這個問題？

Answer 1

在您現在的策略中，您允許來自該 CIDR 的入口，但來自您的<MY_IP>所有流量除外。 因此，它會阻止來自您 IP 的所有流量。

PS：IBM Cloud Kubernetes Service 中的 Ingress 默認禁用源 IP 保留。 確保您已為 Ingress 服務啟用它： https : //console.bluemix.net/docs/containers/cs_ingress.html#preserve_source_ip