Kubernetes中Service对象的IP是否会变更？能否用于出口NetworkPolicy？

结论 #

可以使用固定的ClusterIP配置出口NetworkPolicy，但更推荐直接通过Pod标签匹配的方式实现，后者更符合Kubernetes的设计理念且维护成本更低。

1. 用固定ClusterIP的可行性 #

Kubernetes的NetworkPolicy支持通过ipBlock字段指定允许访问的目标IP范围。如果你的ClusterIP是**显式指定（而非自动分配）**且确认不会频繁变更，完全可以在出口规则中直接引用这个IP。示例配置如下：

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-bar-to-service-ip
spec:
  podSelector:
    matchLabels:
      foo: bar
  policyTypes:
  - Egress
  egress:
  - to:
    - ipBlock:
        cidr: 10.96.0.10/32  # 替换为你的固定ClusterIP
    ports:
    - protocol: TCP
      port: 80  # 替换为Service的端口

2. 不推荐硬编码ClusterIP的原因 #

• 即使IP当前稳定，后续若遇到Service重建、集群网络调整等场景，IP仍可能发生变更，此时需要同步修改NetworkPolicy，增加了维护复杂度；
• Kubernetes的NetworkPolicy原生支持通过podSelector直接匹配目标Pod的标签，这是更贴合容器编排"标签驱动"的设计模式，无需依赖Service IP，规则更稳定灵活。

3. 更优的实现方案 #

直接通过Pod标签匹配目标Pod，同时可结合Service的端口做进一步限制，示例配置：

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-bar-to-beer
spec:
  podSelector:
    matchLabels:
      foo: bar
  policyTypes:
  - Egress
  egress:
  - to:
    - podSelector:
        matchLabels:
          foo: beer
    ports:
    - protocol: TCP
      port: 80  # 目标Service对应的端口

这个配置会自动匹配所有带有foo:beer标签的Pod，不管它们是否属于某个Service后端，规则的适应性和可维护性更强。

内容的提问来源于stack exchange，提问作者Vishwanath Joshi