在Kubernetes（k8S）中，网络策略（NetworkPolicy）原理是基于标签选择器（label selectors）和规则定义来实现Pod之间的网络通信控制。其核心原理可以概括为：
- 定义范围：
- Kubernetes NetworkPolicy资源应用于特定的命名空间。
- 每个策略通过
podSelector字段指定一组具有匹配标签的Pod，这些Pod将受到该策略的影响。
- 规则制定：
- Ingress规则：定义允许进入（从其他Pod或外部源到被选中的Pod）的网络流量。可以细化到源Pod的选择、协议类型（TCP、UDP等）、目标端口等条件。
- Egress规则：定义允许离开（从被选中的Pod到集群内其他Pod或外部目的地）的网络流量。同样可以设置源Pod选择、目标地址、目标端口以及协议类型的限制。
- 默认行为与白名单模式：
- 默认情况下，如果没有针对某个Pod应用任何网络策略，则该Pod通常能接受来自集群内所有Pod的连接（具体取决于所使用的CNI插件）。
- 当一个NetworkPolicy生效时，它采用的是白名单机制，即仅允许明确列出并满足策略中规定的流量通过，而未在策略中明确提及的流量则会被阻止。
- 实施方式：
- Kubernetes本身并不直接执行网络策略；而是依赖于集群中部署的兼容网络插件，如Calico、Cilium、Romana等，它们负责根据定义的NetworkPolicy资源实际配置网络规则。
综上所述，Kubernetes网络策略提供了一种灵活且细粒度的方式来管理Pod间的网络通信安全，确保只有经过授权的网络流量才能在集群内部流动。
