K8S集群重启后API Server IP变更致网络策略失效，求解决方案

方案1：使用Service选择器替代IPBlock #

NetworkPolicy支持通过serviceSelector和namespaceSelector直接匹配Kubernetes默认的API Server服务，无需依赖固定IP，完全不受IP变更影响，是最优解。

示例配置：

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-kube-server
spec:
  podSelector: {} # 匹配命名空间内所有Pod
  policyTypes:
    - Egress
  egress:
    - to:
        # 匹配kubernetes服务所在的default命名空间
        - namespaceSelector:
            matchLabels:
              kubernetes.io/metadata.name: default
          # 匹配kubernetes服务的标签
          serviceSelector:
            matchLabels:
              component: apiserver
              provider: kubernetes
      ports:
        - port: 443
          protocol: TCP

方案2：固定Kubernetes API Server的ClusterIP #

Kubernetes默认的kubernetes.default.svc服务ClusterIP从集群初始化时指定的service-cidr中分配，若集群重启后该IP变化，可通过以下方式固定：

• 集群初始化阶段（如用kubeadm），通过配置文件指定service-cidr，多数集群默认API Server服务的ClusterIP为10.96.0.1/32，可直接使用该值作为CIDR。
• 若已创建集群，可编辑kubernetes服务YAML，手动指定spec.clusterIP字段（需确保该IP未被其他服务占用）。

方案3：自动化更新NetworkPolicy #

若前两种方案无法适配集群环境，可通过脚本自动化更新策略：

1. 编写Shell脚本获取当前API Server的IP：

KUBE_API_IP=$(kubectl get endpoints kubernetes -n default -o jsonpath='{.subsets[0].addresses[0].ip}')

2. 替换NetworkPolicy中的CIDR并重新应用：

sed -i "s/1.2.3.4\/32/$KUBE_API_IP\/32/" allow-kube-server.yaml
kubectl apply -f allow-kube-server.yaml -n <目标命名空间>

3. 将脚本配置为集群启动后的自动执行任务（如systemd服务、Kubernetes Job）。

内容的提问来源于stack exchange，提问作者Jose Truyol