NetworkPolicy未生效：仅允许指定Pod访问服务的配置失败

问题根源 #

你的NetworkPolicy配置中，ingress.from数组里的两个选择器是**逻辑或（OR）**关系：

• 只要请求来自default命名空间（无论Pod标签是什么），就会被允许
• 或者请求来自带有app=web-test-pod-01标签的Pod（无论所在命名空间），就会被允许

这就是为什么default命名空间下的所有Pod都能访问目标服务的原因。

修正后的NetworkPolicy配置 #

需要将namespaceSelector和podSelector放在同一个from对象中，这样就变成**逻辑与（AND）**关系，只有同时满足两个条件的请求才会被允许：

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: np-webapp-01
  namespace: devwebapp
spec:
  podSelector:
    matchLabels:
      run: webapp-01
  policyTypes:
    - Ingress
  ingress:
    - from:
        - namespaceSelector:
            matchLabels:
              kubernetes.io/metadata.name: default
          podSelector:
            matchLabels:
              app: web-test-pod-01
      ports:
        - protocol: TCP
          port: 80

验证步骤 #

1. 删除旧的NetworkPolicy：

kubectl delete networkpolicy np-webapp-01 -n devwebapp

2. 应用修正后的配置：

kubectl apply -f <修正后的yaml文件路径>

3. 再次测试web-test-pod-02的访问：

kubectl exec web-test-pod-02 -- curl -I svc-webapp-01.devwebapp.svc

此时web-test-pod-02应该返回连接超时或拒绝访问的结果，而web-test-pod-01仍能正常访问目标服务。

内容的提问来源于stack exchange，提问作者Khaled