Kubernetes集群内通信安全：ClusterIP服务间通信是否需加密

集群内部通信是否默认安全？ #

集群内部通信并不属于默认安全的范畴，哪怕ServiceType是ClusterIP仅允许集群内访问，也存在以下风险：

• 攻击者只要获取到集群内任意一个Pod的执行权限，即可对同网段、同节点的未加密通信流量进行抓包解析，直接获取明文传输的敏感数据
• 部分容器网络插件（CNI）未默认开启流量加密，跨节点的Pod通信流量会经过集群所在的底层网络传输，若底层网络（比如机房内网、云厂商VPC）存在安全风险，流量也可能被窃听
• 多租户场景下，同集群内的其他租户也有可能窃取到你未加密的服务通信数据

是否需要为这两个ClusterIP服务配置通信加密？ #

是否配置要结合你的业务场景判断：

• 若你部署的是生产环境服务，且传输的数据涉及用户隐私、业务机密、支付信息等敏感内容，必须配置通信加密，同时这也是大部分网络安全合规规范的强制要求
• 若你部署的是内部测试环境、仅传输公开非敏感数据的低优先级服务，可以暂不配置，但仍建议优先做加密避免后续业务迭代引入敏感数据后出现安全漏洞

常见的集群内服务通信加密实现方案 #

• 业务代码适配：直接在ServiceA、ServiceB服务侧配置TLS证书，使用HTTPS、gRPC over TLS等加密协议进行通信，证书可通过K8s Secret 资源挂载到Pod内
• 服务网格方案：引入Istio、Linkerd等服务网格组件，无需修改业务代码即可自动为集群内所有服务之间的通信开启双向TLS（mTLS）加密，还可配套实现权限控制、流量监控等额外能力

内容的提问来源于stack exchange，提问作者Matthias Gilch