Kubernetes集群Pod通信技术咨询：无Service互通及隔离配置问题

1. 未配置Service时，Pod之间能否相互通信？ #

可以。Kubernetes集群里的每个Pod都会被分配一个集群内部唯一的IP地址，只要两个Pod处于集群的同一个网络平面（默认情况下集群内所有Pod都在这个平面），知道对方的Pod IP和容器监听的端口，就能直接通过IP+端口的方式通信，不需要依赖Service。

不过要注意：Pod的IP是动态的，Pod重启、重建或者调度到其他节点后，IP可能会变化，所以直接用IP通信在生产环境中不太可靠——这也是Service存在的核心意义之一，用来提供稳定的访问入口和负载均衡，但这并不影响裸Pod之间的基础通信能力。

2. 如何配置阻止Pod之间相互通信？ #

核心是使用Kubernetes的NetworkPolicy资源，它可以精准定义Pod的入站（Ingress）和出站（Egress）访问规则，实现访问隔离。不过前提是你的集群使用的CNI插件支持NetworkPolicy（比如Calico、Cilium、Weave Net等，部分轻量CNI如Flannel默认不支持，需要额外配置）。

常见配置示例： #

• 禁止当前Namespace下所有Pod的相互通信：创建默认拒绝所有入站和出站流量的规则：

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: deny-all
  namespace: default
spec:
  podSelector: {} # 匹配当前Namespace下所有Pod
  policyTypes:
  - Ingress
  - Egress
  ingress: [] # 无允许的入站规则，即拒绝所有入站请求
  egress: [] # 无允许的出站规则，即拒绝所有出站请求

• 仅允许特定标签的Pod通信，阻止其他Pod访问：比如只允许带有app=trusted标签的Pod访问当前Namespace内的Pod：

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-trusted-pods
  namespace: default
spec:
  podSelector: {}
  policyTypes:
  - Ingress
  ingress:
  - from:
    - podSelector:
        matchLabels:
          app: trusted

部署上述NetworkPolicy后，不符合规则的Pod之间就无法互相访问了。

内容的提问来源于stack exchange，提问作者ticha2017