Golang容器网络策略：限制Pod通信安全方法

Go不执行NetworkPolicy，而是通过client-go操作API声明策略；策略由CNI插件（如Calico）执行，需指定命名空间、标签、端口等，遵循“默认拒绝”原则。

在 Kubernetes 中，NetworkPolicy 是控制 Pod 间网络通信的核心机制，Golang 本身不直接“处理”网络策略——它不参与策略的执行，但你可以在 Go 编写的控制器、Operator 或 CLI 工具中 定义、校验、部署或管理 NetworkPolicy 资源。关键在于：用 Go 操作 Kubernetes API 来声明和维护这些策略。

理解 NetworkPolicy 的作用边界

NetworkPolicy 是 Namespace 级别的 NetworkPolicy 对象，由 CNI 插件（如 Calico、Cilium、kube-router）实际执行。Go 程序只需按标准格式构造 YAML/JSON 并提交给 kube-apiserver，无需实现底层包过滤逻辑。

• 只对 支持 NetworkPolicy 的 CNI 插件 生效（默认 kubenet 不支持）
• 默认 允许所有入站/出站流量；策略是“默认拒绝，显式放行”
• 只能基于 标签（labels）、命名空间、IPBlock、端口 进行匹配，不支持域名或应用层规则

用 Go 定义并创建一个基础限制策略

以下是一个典型场景：只允许 frontend 命名空间中的带 app=web 标签的 Pod 访问 backend 命名空间中 app=api 的 Pod 的 8080 端口。

使用 kubernetes/client-go 实现：

import (
    metav1 "k8s.io/apimachinery/pkg/apis/meta/v1"
    networkingv1 "k8s.io/api/networking/v1"
    "k8s.io/client-go/kubernetes"
)

policy := &networkingv1.NetworkPolicy{
    ObjectMeta: metav1.ObjectMeta{
        Name:      "allow-web-to-api",
        Namespace: "backend", // 策略作用于 backend 命名空间
    },
    Spec: networkingv1.NetworkPolicySpec{
        PodSelector: metav1.LabelSelector{
            MatchLabels: map[string]string{"app": "api"},
        },
        PolicyTypes: []networkingv1.PolicyType{"Ingress"},
        Ingress: []networkingv1.NetworkPolicyIngressRule{{
            From: []networkingv1.NetworkPolicyPeer{{
                NamespaceSelector: &metav1.LabelSelector{
                    MatchLabels: map[string]string{"name": "frontend"},
                },
                PodSelector: &metav1.LabelSelector{
                    MatchLabels: map[string]string{"app": "web"},
                },
            }},
            Ports: []networkingv1.NetworkPolicyPort{{
                Protocol: &protocol,
                Port:     &intstr.FromInt(8080),
            }},
        }},
    },
}

_, err := clientset.NetworkingV1().NetworkPolicies("backend").Create(context.TODO(), policy, metav1.CreateOptions{})

在 Operator 中动态生成策略

如果你用 Go 开发自定义 Operator（例如管理微服务拓扑），可在 Reconcile 中根据 CRD 状态自动同步 NetworkPolicy：

• 监听 Service 或自定义资源变更（如 MicroService）
• 解析依赖关系（如 A → B，则为 B 的命名空间生成允许 A 访问的 Ingress 策略）
• 调用 Update() 或 Apply()（配合 kubectl apply 语义）避免重复创建
• 注意清理：当服务下线时，删除对应策略或打上 ownerReferences 让 GC 自动回收

验证与调试建议

Go 程序无法替代人工验证，但可集成检查逻辑：

• 用 clientset.NetworkingV1().NetworkPolicies(ns).List() 获取当前策略，做一致性比对
• 结合 Pod 列表 + 标签筛选，确认目标 Pod 是否被 podSelector 正确覆盖
• 输出策略摘要日志（如 “已为 namespace/backend 启用 api 访问白名单：来自 frontend/web”）
• 提醒用户检查 CNI 插件状态（kubectl get pods -n kube-system | grep -E 'calico|cilium'）

基本上就这些。NetworkPolicy 不复杂但容易忽略命名空间上下文和 CNI 兼容性——Go 的角色是可靠地“说清楚你要什么”，剩下的交给集群网络层去执行。