如何为指定URL启用Kubernetes NetworkPolicy网络策略

原生Kubernetes NetworkPolicy工作在三层/四层网络栈，仅支持基于IP地址段、端口、Pod标签、命名空间标签配置规则，本身不支持直接基于七层URL/域名配置放行策略，针对需求有以下几个成熟方案可选：

方案1：使用CNI扩展的域名级网络策略（推荐） #

主流CNI插件基本都扩展了网络策略的七层域名匹配能力，无需额外部署组件，是最轻量的实现方式：

• 若集群使用Calico作为CNI，可直接通过Calico的NetworkPolicy或GlobalNetworkPolicy资源，在Egress规则中添加domains字段配置需要放行的URL，支持精确匹配和通配符匹配，Calico会自动监听域名的IP变更，动态更新底层转发规则，无需手动维护IP列表。
• 若集群使用Cilium作为CNI，可通过CiliumNetworkPolicy资源的toFQDNs字段配置放行域名，同样会自动同步域名解析的IP变化，自动调整规则保证访问有效性。

方案2：集中出口代理管控 #

如果集群使用的CNI不支持域名级策略，可通过七层出口代理实现管控：

• 部署Squid、Envoy等七层代理组件到独立的出口命名空间，为代理Pod配置专属标签
• 通过原生NetworkPolicy放行所有业务Pod到出口代理Pod的访问请求，同时配置代理的七层规则，仅允许转发指定的外部URL请求，其余外部请求直接阻断
• 业务侧可通过配置HTTP_PROXY/HTTPS_PROXY环境变量，或通过服务网格Sidecar自动将出口流量导到出口代理，实现URL级别的访问控制。
  该方案不依赖CNI特性，通用性强，同时可统一审计所有集群出口请求。

方案3：Operator自动维护IP规则 #

如果不想调整现有流量链路，可部署专门的域名解析Operator：

• Operator会定时解析你指定放行的URL对应的IP地址，自动更新对应NetworkPolicy中的IP段配置，域名IP发生变动时自动同步更新规则，无需人工介入。
• 注意需要将Operator的解析频率和域名的TTL值对齐，避免IP切换时出现短暂的访问中断。

• 绝大多数域名级放行方案对HTTPS请求是基于SNI字段识别域名的，如果你需要放行的URL使用了ESNI/ECH加密SNI，或使用私有证书，需要提前确认所选方案适配对应场景。
• 上述七层URL放行规则和原生NetworkPolicy的跨命名空间流量管控规则可以共存，互不冲突。

内容的提问来源于stack exchange，提问作者Flip