云原生架构下怎么通过网络策略 NetworkPolicy 隔离 Nginx 访问权限-Nginx-PHP中文网

networkpolicy 可直接控制 nginx pod 访问权限，核心是选中带标签的 pod、明确放行来源、限定端口协议；无需改服务或依赖 ingress/service mesh，纯声明式策略即可生效。

云原生架构下怎么通过网络策略 networkpolicy 隔离 nginx 访问权限

直接用 NetworkPolicy 控制 Nginx Pod 的访问权限，核心是“选中目标 Pod + 明确放行来源 + 限定端口和协议”。不需要改服务、不依赖 Ingress 或 Service Mesh，纯声明式策略即可生效。

明确你要保护的对象

NetworkPolicy 只作用于带标签的 Pod，不是 Service。所以第一步必须确认 Nginx 实际运行的 Pod 有稳定标签，比如：
app: nginx 或 tier: frontend。
检查命令：kubectl get pods -l app=nginx -o wide。如果没标签，先给 Deployment 加上 label，再滚动更新。

写一个最小可用的限制策略

下面这个策略会拒绝所有访问，只允许带 access=true 标签的 Pod 连接 Nginx 的 80 端口：

Nginx Hosting

通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。

下载

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: restrict-nginx-access
  namespace: default
spec:
  podSelector:
    matchLabels:
      app: nginx
  policyTypes:
  - Ingress
  ingress:
  - from:
    - podSelector:
        matchLabels:
          access: "true"
    ports:
    - protocol: TCP
      port: 80

要点说明：
• podSelector 锁定被保护的 Nginx Pod
• policyTypes: [Ingress] 表示只控制入向流量（出向默认不限制）
• from.podSelector 指定合法访问者，支持 namespaceSelector、ipBlock 等多种来源
• 不写 egress 部分，Nginx Pod 自身对外发起连接不受影响

验证是否生效

测试前确保集群已启用 CNI 插件（如 Calico、Cilium）并支持 NetworkPolicy —— 基础版 kube-proxy 不支持。
验证步骤：

启动一个无标签的 busybox 测试 Pod：kubectl run test-pod --rm -it --image=busybox -- /bin/sh
在容器内执行：wget --spider --timeout=2 http://nginx → 应失败（Connection timed out）
再启动一个带 access=true 标签的 Pod：kubectl run allowed-pod --rm -it --labels="access=true" --image=busybox -- /bin/sh
同样执行 wget → 应成功返回 “remote file exists”