CKAD 常用资源：NetworkPolicy

Sun, 09 Aug 2026 12:19:00 +0800

NetworkPolicy 控制 Pod 间网络访问。CKAD 高频题型是“只允许某些 Pod 访问某些 Pod 的某个端口”。

YAML 模板

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19


apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
 name: allow-frontend
 namespace: networking
spec:
 podSelector:
 matchLabels:
 app: web
 policyTypes:
 - Ingress
 ingress:
 - from:
 - podSelector:
 matchLabels:
 tier: frontend
 ports:
 - protocol: TCP
 port: 80

常考字段解析

spec.podSelector：选择被保护的目标 Pod。
policyTypes：Ingress 控制入站，Egress 控制出站。
ingress[].from[].podSelector：允许哪些来源 Pod。
ingress[].from[].namespaceSelector：允许哪些命名空间里的来源。
ports[].port：允许访问的目标端口。

常用命令

1
2
3
4


k get netpol -n networking
k describe netpol allow-frontend -n networking
k get pod -n networking --show-labels
k run tmp --restart=Never --rm -i --image=busybox -- wget -O- web-service:80

易错点

podSelector 是目标 Pod，不是来源 Pod。
Pod 一旦被 NetworkPolicy 选中，未允许的流量会被拒绝。
NetworkPolicy 是否生效取决于集群 CNI 是否支持。

CKAD 复习：网络题压缩模板

Sun, 09 Aug 2026 11:30:00 +0800

网络题只围绕 3 个资源：Service 找 Pod，Ingress 找 Service，NetworkPolicy 限制 Pod 流量。排障时顺着这条链查：客户端 -> Service -> Endpoints -> Pod labels -> containerPort。

1. Service：selector 必须匹配 Pod label

ClusterIP 是默认类型，内部访问用它。

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12


apiVersion: v1
kind: Service
metadata:
 name: internal-app
 namespace: networking
spec:
 type: ClusterIP
 selector:
 app: backend
 ports:
 - port: 80
 targetPort: 8080

NodePort 暴露到节点端口：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13


apiVersion: v1
kind: Service
metadata:
 name: public-web
 namespace: networking
spec:
 type: NodePort
 selector:
 app: web
 ports:
 - port: 80
 targetPort: 80
 nodePort: 30080

用命令从 Deployment 暴露 Service：

1
2
3
4
5


k expose deployment web-frontend -n networking \
 --name=public-web \
 --type=NodePort \
 --port=80 \
 --target-port=80

2. Service 排障：看 Endpoints

Service 不通时优先查 selector 和 endpoint。

1
2
3
4


k get svc web-service -n troubleshooting -o wide
k describe svc web-service -n troubleshooting
k get endpoints web-service -n troubleshooting
k get pod -n troubleshooting --show-labels

如果 ENDPOINTS 为空，通常是 Service selector 和 Pod label 不匹配：

1
2
3
4
5


# 方案 1：改 Service selector
k patch svc web-service -n troubleshooting -p '{"spec":{"selector":{"app":"web"}}}'

# 方案 2：给 Pod/Deployment 模板补 label
k label pod <pod> app=web -n troubleshooting

临时测试：

1

k run tmp --restart=Never --rm -i --image=busybox -- wget -O- web-service:80

3. Ingress：host/path -> service/port

Ingress 只是七层路由，后端必须是 Service。

k get ingressClass -A

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18


apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
 name: api-ingress
 namespace: networking
spec:
 ingressClassName: nginx # 指定 Ingress Controller, 默认 nginx
 rules:
 - host: api.example.com
 http:
 paths:
 - path: /
 pathType: Prefix
 backend:
 service:
 name: api-service
 port:
 number: 80

检查：

1
2


k get ingress -n networking
k describe ingress api-ingress -n networking

4. NetworkPolicy：选择目标 Pod，再写允许来源

题型：“只允许 label 为 tier=frontend 的 Pod 访问 label 为 app=web 的 Pod 的 80 端口”。

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19


apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
 name: allow-traffic
 namespace: networking
spec:
 podSelector:
 matchLabels:
 app: web
 policyTypes:
 - Ingress
 ingress:
 - from:
 - podSelector:
 matchLabels:
 tier: frontend
 ports:
 - protocol: TCP
 port: 80

记忆点：

spec.podSelector 选被保护的目标 Pod。
ingress.from.podSelector 选允许进来的来源 Pod。
一旦 Pod 被 NetworkPolicy 选中，未显式允许的流量会被拒绝。

5. 自定义列输出

Killer Shell 常出现“输出特定列到文件”：

1
2
3


k get ns > /opt/course/1/namespaces
k get pod -A -o custom-columns='NS:.metadata.namespace,NAME:.metadata.name,IMAGE:.spec.containers[*].image'
k get svc -A -o wide

考场压缩记忆

Service：selector 找 Pod，port 是 Service 端口，targetPort 是容器端口。
Ingress：host/path 找 Service，不直接找 Pod。
NetworkPolicy：先选“被保护目标”，再写“允许来源”。
排障固定看：svc -> endpoints -> pod labels -> logs/events。

NetworkPolicy on 我的空间