kubernetes 中的网络策略冲突

Question

假设我有 2 个网络策略，用于匹配标签“app=database”的节点。认为：

• 第一个策略具有阻止所有入口流量的规则。
• 第二个策略有一条规则允许端口 5660 上的入口流量。

尽管这是一个简单的例子，但是 kubernetes 如何决定哪条规则获胜呢？在更复杂的场景中，有多个重叠规则可能覆盖类似的 Pod，如何管理？例如：我们可以定义网络策略的优先级吗？

谢谢。

Answer 1

Kubernetes 网络策略目前不允许拒绝策略。只有允许的政策。您基本上将 pod 的所有允许策略放在一起以获得允许的连接。

当 pod 上存在一项或多项网络策略时，则 至少一项网络策略允许的所有连接都将被允许。

那么默认拒​​绝是如何工作的呢？它只是告诉我们没有允许的连接。

更详细的解释可以在这里找到。