Может кто знает - как-то можно через cilium разрешить доступ

Question

Может кто знает - как-то можно через cilium разрешить доступ

к nodeport'ам только с определенных префиксов? Инсталляция такая: cilium в режиме замены kube-proxy, три ноды, на одной ноде запущен под, к нему настроен NodePort-сервис. По умолчанию NodePort открыт для кого угодно (можно придти извне на любую ноду на <IP_ноды>:<NodePort> и попасть в под). Я хочу, чтобы в под можно было попасть, придя на любую ноду на <IP_ноды>:<NodePort>, но только с конкретных разрешенных префиксов (IP должен быть в whitelist'е). Пробовал сделать через такие policy: https://pastebin.com/4ySWe01D

С такими policy пакеты с запрещенного префикса блочатся только если ты стучишься на ноду, на которой непосредственно запущен под. Если придти на соседнюю ноду на nodeport, то cilium пускает (предполагаю, из-за того, что происходит NAT на ClusterIP, с которого уже доступ к поду разрешен).

#devops #kubernetes #programming #russian

0

26.01.2022