创建组织外部网络政策

本页面介绍了如何在 Google Distributed Cloud (GDC) 网闸隔离配置中配置组织外部流量网络政策。

组织外部流量是指来自不同组织的服务和工作负载与外部端点之间的通信。

准备工作

如需配置组织外部流量网络政策，您必须具备以下条件：

• 必要的身份和访问角色。如需了解详情，请参阅准备预定义角色和访问权限。
• 现有项目。如需了解详情，请参阅创建项目。
• 停用数据渗漏防护。
• 以下网络配置之一：
  • 使用通用互连连接组的组织。
  • 通过各自的外部对等互连网络使用连接的组织。

创建组织外部政策

您可以定义入站或出站组织外部流量政策，以管理来自不同组织的服务和工作负载与外部端点之间的通信。

您可以创建适用于组织中所有可用区流量的全球组织外部流量项目网络政策。如需详细了解 GDC 领域中的全球资源，请参阅多可用区概览。

将服务和工作负载连接到其他组织中项目外部的目标位置需要获得明确批准。您必须停用数据渗漏防护，才能允许组织外部流量。

为组织外部流量创建全局入站防火墙规则

使用外部负载均衡器公开项目中的工作负载时，您还必须创建 ProjectNetworkPolicy 入站流量政策，以允许外部客户端 IP 地址访问工作负载。

此全球入站流量政策适用于贵组织中的所有可用区。

请按照以下步骤创建新的防火墙规则，并允许来自其他组织的项目的负载的入站流量：

kubectl --kubeconfig GLOBAL_API_SERVER apply -f - <<EOF
apiVersion: networking.global.gdc.goog/v1
kind: ProjectNetworkPolicy
metadata:
  namespace: PROJECT
  name: allow-inbound-traffic-from-external
spec:
  policyType: Ingress
  subject:
    subjectType: UserWorkload
  ingress:
  - from:
    - ipBlock:
        cidr: CIDR
EOF

为组织外部流量创建全球出站流量防火墙规则

如需将数据传输到组织外部的服务，您必须先停用数据渗漏防护功能。然后，您必须配置出站流量防火墙规则，以允许来自项目工作负载或服务的出站流量。

本部分介绍了在项目级启用出站流量的过程。如需了解如何在工作负载级别管理出站流量连接，请参阅 NAT 概览。

此全球出站流量防火墙规则适用于您组织中的所有可用区。

请按照以下步骤创建新的防火墙规则，并允许从项目工作负载或服务到其他组织中的工作负载的出站流量：

为标准集群创建组织外部政策

标准集群是项目级 Kubernetes 集群，可提供更强的控制力、更高的灵活性和集群管理员权限。

为标准集群创建入站组织外部政策

1. 如需为标准集群创建入站流量组织外部政策，请创建并应用以下自定义资源：

   kubectl --kubeconfig GLOBAL_API_SERVER apply -f - <<EOF
   apiVersion: networking.global.gdc.goog/v1
   kind: ProjectNetworkPolicy
   metadata:
     namespace: STANDARD_CLUSTER_PROJECT
     name: allow-ingress-from-external-endpoint-to-standard-cluster-pod
   spec:
     policyType: Ingress
     subject:
       subjectType: UserWorkload
       userWorkloadSelector:
         labelSelector:
           clusters:
             matchLabels:
               kubernetes.io/metadata.name: STANDARD_CLUSTER_NAME
           namespaces:
             matchLabels:
               kubernetes.io/metadata.name: SUBJECT_NAMESPACE
           workloads:
             matchLabels:
               SUBJECT_LABEL_KEY: SUBJECT_LABEL_VALUE
     ingress:
     - from:
       - ipBlocks:
         - cidr: EXTERNAL_IP
       ports:
       - protocol: TCP
         port: PORT
   EOF
   

   替换以下内容：

   • GLOBAL_API_SERVER：全局 API 服务器的 kubeconfig 路径。如需了解详情，请参阅全球和可用区级 API 服务器。 如果您尚未为 API 服务器生成 kubeconfig 文件，请参阅登录了解详情。
   • STANDARD_CLUSTER_PROJECT：标准集群项目的名称。
   • STANDARD_CLUSTER_NAME：标准集群的名称。
   • SUBJECT_LABEL_KEY：用于选择主题工作负载的标签键。例如 app、tier 或 role。
   • SUBJECT_LABEL_VALUE：与 SUBJECT_LABEL_KEY 关联的值。例如，如果 SUBJECT_LABEL_KEY 为 app，SUBJECT_LABEL_VALUE 为 backend，则带有标签 app: backend 的工作负载正在接收流量。
   • EXTERNAL_IP：外部端点的 IP 地址。
   • PORT：主体工作负载上允许流量通过的端口。

为标准集群创建出站组织外部政策

1. 如需为标准集群创建出站组织外部政策，请创建并应用以下自定义资源：

   kubectl --kubeconfig GLOBAL_API_SERVER apply -f - <<EOF
   apiVersion: networking.global.gdc.goog/v1
   kind: ProjectNetworkPolicy
   metadata:
     namespace: STANDARD_CLUSTER_PROJECT
     name: allow-egress-from-standard-cluster-pod-to-external-endpoint
   spec:
     policyType: Egress
     subject:
       subjectType: UserWorkload
       userWorkloadSelector:
         labelSelector:
           clusters:
             matchLabels:
               kubernetes.io/metadata.name: STANDARD_CLUSTER_NAME
           namespaces:
             matchLabels:
               kubernetes.io/metadata.name: SUBJECT_NAMESPACE
           workloads:
             matchLabels:
               SUBJECT_LABEL_KEY: SUBJECT_LABEL_VALUE
     egress:
     - to:
       - ipBlocks:
         - cidr: EXTERNAL_IP
       ports:
       - protocol: TCP
         port: PORT
   EOF
   

   替换以下内容：

   • GLOBAL_API_SERVER：全局 API 服务器的 kubeconfig 路径。如需了解详情，请参阅全球和可用区级 API 服务器。 如果您尚未为 API 服务器生成 kubeconfig 文件，请参阅登录了解详情。
   • STANDARD_CLUSTER_PROJECT：标准集群项目的名称。
   • STANDARD_CLUSTER_NAME：标准集群的名称。
   • SUBJECT_LABEL_KEY：用于选择主题工作负载的标签键。例如 app、tier 或 role。
   • SUBJECT_LABEL_VALUE：与 SUBJECT_LABEL_KEY 关联的值。例如，如果 SUBJECT_LABEL_KEY 为 app，SUBJECT_LABEL_VALUE 为 backend，则带有标签 app: backend 的工作负载正在发送流量。
   • EXTERNAL_IP：外部端点的 IP 地址。
   • PORT：允许流量进入的外部端点上的端口。