K8s NetworkPolicy中ports含空对象时的端口规则含义咨询

当你在NetworkPolicy的spec.ingress[].ports数组中放入空对象{}时，kubectl describe显示的To Port: <nil>/TCP代表允许TCP协议下的任意端口，和完全不指定ports数组的行为有本质区别：

• 若完全不声明ports数组：匹配的对等体可通过**所有协议（TCP、UDP、SCTP等）**的任意端口访问目标Pod
• 若声明ports: [{}]：仅允许TCP协议的任意端口访问，UDP、SCTP等其他协议的流量会被该NetworkPolicy阻断

原因说明 #

Kubernetes对NetworkPolicy的端口规则有默认值逻辑：

1. 端口规则的protocol字段默认值为TCP
2. 当未指定port字段时，对于Ingress规则，代表匹配该协议下的所有端口

所以空对象{}会被解析为「允许TCP协议的所有端口」，kubectl describe里的<nil>对应未指定具体端口（即任意端口），TCP则是默认的协议类型。

示例对比 #

仅允许TCP任意端口的配置

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: tcp-only-any-port
spec:
  podSelector:
    matchLabels:
      app: demo
  ingress:
  - from:
    - podSelector: {}
    ports:
    - {} # 空对象，对应TCP任意端口

允许所有协议任意端口的配置

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: all-protocols-any-port
spec:
  podSelector:
    matchLabels:
      app: demo
  ingress:
  - from:
    - podSelector: {}
    # 完全省略ports字段

内容的提问来源于stack exchange，提问作者zerohedge