kubernetes中的NetworkPolicies冲突

Question

假设我有2个网络策略，用于匹配标签“app = database”的节点。假设：

• 第一个策略具有阻止所有入口流量的规则。
• 第二个策略有一个允许在端口5660上进行流量的规则。

即使这只是一个简单的例子，kubernetes如何决定哪条规则获胜？ 在更复杂的情况下，几个重叠的规则可能涵盖类似的pod，如何管理？例如：我们可以在网络政策中定义优先级吗？

感谢。

Answer 1

Kubernetes网络政策现在不允许拒绝政策。只有允许政策。您基本上将pod的所有允许策略放在一起以获得允许的连接。

当pod上有一个或多个网络策略时，将允许至少一个网络策略允许的所有连接。

那么默认拒​​绝是如何工作的。它只是告诉允许的连接是无。

可以获得更详细的解释here。

Answer 2

实际上，这取决于您的网络策略插件如何实现它。目前，我们也无法确定优先事项。如果你确实有冲突的规则，那你犯了一个错误。您应该尝试应用没有冲突规则的策略。