Docker og Kubernetes for udviklere · Lektion

Sikring af Kubernetes-netværkstrafik

Lær avancerede teknikker til sikring af netværkskommunikation i og uden for Deres Kubernetes-cluster.

Lektion 3 af 411 trin

Sikring af Kubernetes-netværkstrafik er en gratis Docker og Kubernetes for udviklere-lektion på CoddyKit. Dette er lektion 3 af 4. Du kan læse hele lektionen gratis nedenfor — og derefter øve dig praktisk i browseren med en indbygget kodeeditor og en AI-vejleder, der er tilgængelig døgnet rundt. Den er en del af læringsforløbet i Docker og Kubernetes for udviklere, og dine fremskridt synkroniseres på tværs af nettet og CoddyKit-appen. Docker og Kubernetes for udviklere-kurset indeholder 4 lektioner i alt.

Sikring af K8s-netværk

Netværkssikkerhed i Kubernetes er afgørende! Det handler om at beskytte kommunikationsvejene mellem dine applikationer både i og uden for clustret.

Uden de rette kontroller kan ondsindede aktører få uautoriseret adgang, stjæle data eller afbryde dine tjenester. Vi gennemgår avancerede teknikker til at låse dit netværk ned.

Genopfriskning af netværkspolitikker

Kan du huske Kubernetes' Network Policies? De fungerer som firewalls for dine pods og styrer, hvilke pods der kan kommunikere med hinanden og med eksterne slutpunkter.

De er afgrænset til et namespace.
De definerer regler for indgående og udgående trafik.
De bruger labels til at vælge pods.

Nu ser vi på mere avancerede måder at bruge dem på for at opnå robust sikkerhed.

Standardafvisning for sikkerhed

En stærk sikkerhedspraksis er at implementere en standardafvisning. Det betyder, at al netværkstrafik blokeres som standard, og at du udtrykkeligt kun tillader det nødvendige.

Det minimerer angrebsfladen ved at sikre, at ingen utilsigtede forbindelser er mulige. Det svarer til at låse alle døre og kun åbne dem, du har brug for.

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: default-deny-all
  namespace: my-app-ns
spec:
  podSelector: {}
  policyTypes:
  - Ingress
  - Egress

Styring af udgående trafik

Mens regler for indgående trafik beskytter mod trusler udefra, er regler for udgående trafik afgørende for at styre den udgående trafik fra dine pods.

Det kan forhindre dataudtræk, stoppe kompromitterede pods i at angribe eksterne systemer eller begrænse adgangen til bestemte eksterne tjenester (f.eks. en database eller et API-slutpunkt).

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-egress-to-db
  namespace: my-app-ns
spec:
  podSelector:
    matchLabels:
      app: webapp
  policyTypes:
  - Egress
  egress:
  - to:
    - podSelector:
        matchLabels:
          app: database
    ports:
    - protocol: TCP
      port: 5432

Kryptering af intern trafik

Selv inde i dit cluster bør du overveje at kryptere kommunikationen mellem pods. Det er her, mTLS (mutual Transport Layer Security) kommer ind i billedet.

mTLS sikrer, at både klienten og serveren bekræfter hinandens identitet ved hjælp af certifikater, og at alle udvekslede data er krypterede. Det forhindrer aflytning og manipulation.

Service mesh og mTLS

Det kan være komplekst at implementere mTLS manuelt på tværs af mange tjenester. Et service mesh (som Istio eller Linkerd) automatiserer dette for dig.

Det indsætter en 'sidecar'-proxy ved siden af hver pod, som håndterer:

Automatisk mTLS-kryptering.
Detaljeret adgangskontrol (hvem der må kommunikere med hvem).
Trafikstyring og overvågningsmuligheder.

Avanceret Ingress-sikkerhed

For trafik, der kommer ind i dit cluster, er Ingress-controlleren en vigtig sikkerhedsgrænse. Ud over grundlæggende TLS-terminering kan du forbedre sikkerheden:

WAF-integration: Integrer Web Application Firewalls for at beskytte mod almindelige webangreb (SQL-injektion, XSS).
IP-hvidlistning: Begræns adgangen til bestemte IP-intervaller.
Hastighedsbegrænsning: Forhindr misbrug og DDoS-angreb.

Global styring af udgående trafik

Selvom Network Policies styrer pod-trafik ud af clustret, kan du få brug for filtrering af udgående trafik på cluster-niveau eller eksternt. Det kan omfatte:

Gateways for udgående trafik: Diriger al udgående trafik gennem et dedikeret sæt pods med specifikke firewallregler.
Firewalls hos cloud-udbyderen: Konfigurer netværkssikkerhedsgrupper eller firewalls på cloudens VPC-niveau for at begrænse udgående forbindelser fra dine workernoder.

Logisk netværkssegmentering

Netværkssegmentering indebærer, at dit Kubernetes-cluster opdeles i isolerede logiske zoner. Det begrænser skadeomfanget, hvis en del af din applikation bliver kompromitteret.

Separate namespaces til forskellige miljøer (udvikling, test, produktion).
Separate namespaces til forskellige applikationer eller teams.
Anvend strenge Network Policies mellem disse segmenter.

Quiz: Sikring af K8s-netværk

Test din viden om sikring af netværkstrafik i Kubernetes.

Besvar den i den interaktive lektion

Opsummering af sikkert netværk

Godt klaret! Du har lært avancerede teknikker til at sikre netværkstrafik i Kubernetes:

Implementering af standardafvisning og Network Policies for udgående trafik.
Udnyttelse af mTLS og service meshes til intern kryptering.
Forbedring af Ingress- og Egress-sikkerheden.
Anvendelse af netværkssegmentering.

Disse praksisser er afgørende for at opbygge robuste og sikre cloud-native-applikationer. Bliv ved med at udforske sikkerhedsfunktionerne i din valgte CNI og dit service mesh!

Gratis at komme i gang

Lær Docker og Kubernetes for udviklere med en AI-underviser — gratis

Skriv og kør rigtig kode i din browser, få øjeblikkelig hjælp fra en AI-underviser døgnet rundt, og fortsæt, hvor du slap, på web eller i appen.

Kurser: 12
Lektioner: 48

Start gratis Se hele kurset

Ofte stillede spørgsmål

Er lektionen “Sikring af Kubernetes-netværkstrafik” gratis?

Ja — hele teksten til “Sikring af Kubernetes-netværkstrafik” kan læses gratis her på nettet. Hvis du vil øve dig interaktivt med en indbygget kodeeditor og en AI-vejleder døgnet rundt og få adgang til resten af Docker og Kubernetes for udviklere-kurset, skal du opgradere til CoddyKit PRO. Docker og Kubernetes for udviklere-kurset indeholder 4 lektioner i alt.

Hvad lærer jeg i “Sikring af Kubernetes-netværkstrafik”?

Lær avancerede teknikker til sikring af netværkskommunikation i og uden for Deres Kubernetes-cluster. Du øver dig i Docker og Kubernetes for udviklere med praktisk kode, som du kører direkte i browseren, og en AI-vejleder døgnet rundt besvarer dine spørgsmål, mens du arbejder dig gennem lektionen.

Skal jeg have erfaring for at begynde på Docker og Kubernetes for udviklere?

Der kræves ingen tidligere erfaring. Docker og Kubernetes for udviklere på CoddyKit er tilrettelagt for både begyndere og øvede, så du kan starte her eller fra begyndelsen og lære i dit eget tempo. Dette er lektion 3 af 4.

Hvor lang tid tager lektionen “Sikring af Kubernetes-netværkstrafik”?

De fleste CoddyKit-lektioner tager cirka 5–10 minutter. Hver lektion er kort og interaktiv, så du gør løbende fremskridt og kan fortsætte, hvor du slap – på både web og app.

Kan jeg skrive og køre kode i denne Docker og Kubernetes for udviklere-lektion?

Ja. Alle Docker og Kubernetes for udviklere-lektioner har en indbygget kodeeditor, så du kan skrive og køre rigtig kode direkte i din browser og få øjeblikkelig feedback fra AI – uden lokal opsætning.

Alle lektioner i dette kursus

Rollebaseret adgangskontrol (RBAC)
Pod-sikkerhed og image scanning
Sikring af Kubernetes-netværkstrafik
Sikker håndtering af Secrets med eksterne secret stores

← Tilbage til Docker og Kubernetes for udviklere