容器网络策略安全配置

容器网络策略安全配置踩坑记录

最近在为机器学习模型监控平台部署容器化环境时，遇到了一个令人头疼的网络策略问题。项目背景：我们正在构建一个DevOps平台，需要监控模型推理性能指标如latency、error_rate等，同时确保数据传输安全。

问题重现

配置了如下NetworkPolicy后，模型服务无法访问外部数据源：

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: ml-model-policy
spec:
  podSelector:
    matchLabels:
      app: ml-model
  policyTypes:
  - Ingress
  - Egress
  egress:
  - to:
    - namespaceSelector:
        matchLabels:
          name: monitoring
    ports:
    - protocol: TCP
      port: 8080

根本原因

经过排查发现，该策略未允许访问外部服务。由于监控系统需要收集模型推理时延、错误率等指标，必须允许容器访问外部监控服务端点。

解决方案

正确配置应包含：

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: ml-model-policy
spec:
  podSelector:
    matchLabels:
      app: ml-model
  policyTypes:
  - Ingress
  - Egress
  egress:
  # 允许访问监控服务
  - to:
    - namespaceSelector:
        matchLabels:
          name: monitoring
    ports:
    - protocol: TCP
      port: 8080
  # 允许访问外部
  - to:
    - ipBlock:
        cidr: 0.0.0.0/0
    ports:
    - protocol: TCP
      port: 443

告警配置建议

针对网络策略变更，建议在监控系统中添加：

• 网络策略拒绝次数告警（每分钟超过5次）
• 模型推理延迟突增告警（>200ms）

这确保了模型服务的稳定性和安全性。