在 Kubernetes 节点上实现 iptables 规则

Question

我想在 Kubernetes（kube-proxy）开始发挥它的魔力之前实现我自己的 iptables 规则，并根据在节点上运行的服务/pods 动态创建规则。kube-proxy 正在运行--proxy-mode=iptables。

每当我在启动节点时尝试加载规则时，例如在INPUT链中，即使我的规则也带有标志，Kubernetes 规则 (KUBE-EXTERNAL-SERVICES和KUBE-FIREWALL) 会插入到链的顶部-I。

我错过了什么或做错了什么？

如果它有某种关系，我正在为 pod 网络使用 weave-net 插件。

Answer 1

最常见的做法是将所有自定义防火墙规则放在网关（ADC）或云安全组中。集群安全的其余部分由其他功能实现，如网络策略（取决于网络提供商）、入口、RBAC等。

查看有关保护集群和Kubernetes 安全性 - 最佳实践指南的文章。

这些文章也有助于保护您的集群：

• 加强集群的安全性

• Kubernetes 安全终极指南