如何通过Network Policy连接K8s主节点并规避IP变更问题？

你遇到的问题确实常见——K8s原生Network Policy不支持直接通过节点标签指定流量目标，只能靠IP块硬编码，主节点IP一变就得手动改配置。下面给你几个实用的解决思路：

方案1：通过Service间接指向主节点（最通用） #

利用K8s Service的节点选择能力，先把带master标签的节点抽象成Service，再让Network Policy允许访问这个Service即可，主节点IP变更时Service会自动更新端点，不用动Network Policy。

步骤：

1. 确认主节点已打标签（大部分集群默认会给主节点打node-role.kubernetes.io/master: ""标签，没打的话用命令补：kubectl label node <master-node-name> node-role.kubernetes.io/master=""）
2. 创建一个指向主节点443端口的ClusterIP Service：

apiVersion: v1
kind: Service
metadata:
  name: master-api-service
spec:
  selector:
    node-role.kubernetes.io/master: ""
  ports:
    - protocol: TCP
      port: 443
      targetPort: 443
  type: ClusterIP

3. 修改你的Network Policy，把原来的ipBlock替换成serviceSelector：

egress:
  - to:
      - serviceSelector:
          name: master-api-service
    ports:
      - protocol: TCP
        port: 443

方案2：用CNI扩展功能（比如Calico） #

如果你的集群用的是Calico作为CNI插件，Calico自己的Network Policy CRD支持直接通过节点标签指定目标，完全绕开原生Network Policy的限制。

示例配置：

apiVersion: projectcalico.org/v3
kind: NetworkPolicy
metadata:
  name: allow-to-master-nodes
spec:
  selector: app == "your-app-label"  # 替换成你要授权的Pod标签
  egress:
    - action: Allow
      protocol: TCP
      destination:
        selector: node-role.kubernetes.io/master == ""
        ports:
          - 443

方案3：用Mutating Webhook自动更新IP块 #

如果必须用原生Network Policy的ipBlock格式，可以写一个简单的Mutating Webhook，监听Node资源的变更事件：当带有master标签的节点IP发生变化时，自动找到对应的Network Policy，更新里面的cidr字段。这个方案适合有定制化需求的场景，不过需要额外开发和部署Webhook组件。

内容的提问来源于stack exchange，提问作者arjain13