Kubernetes中NetworkPolicy配置实现MongoDB仅允许Nodejs通信失效问题排查

• 最核心错误：策略管控对象与允许来源完全写反
  NetworkPolicy的规则匹配逻辑为：spec.podSelector选中的Pod是这条策略的管控目标，ingress.from是被允许访问目标Pod的流量来源。
  你当前的自定义策略实际生效逻辑是：给app: nodejs-mongo标签的Nodejs Pod配置入向规则，允许run: mongo标签的MongoDB Pod访问Nodejs端口。但你要管控的是MongoDB的入向流量，这条策略完全没匹配到MongoDB Pod，Nodejs发往MongoDB的流量属于MongoDB的入向请求，直接被默认拒绝策略拦截，导致通信失败。
• 默认拒绝策略作用范围不符合最小权限原则
  你写的default-deny策略用matchLabels: {}选中了default命名空间下所有Pod，等于无差别拒绝了该命名空间所有Pod的入向流量，哪怕你的需求只是限制MongoDB的访问，其他正常业务Pod的入向也会被意外拦截。
• 缺少端口显式声明
  当前自定义策略没有指定允许的业务端口，虽然部分CNI实现默认放行所有端口，但生产环境建议显式指定MongoDB的默认TCP 27017端口，避免不必要的端口暴露风险。

场景1：保留全命名空间默认拒绝入向、按需放开的逻辑 #

首先保留原有默认拒绝策略，修正自定义策略的匹配逻辑：

kind: NetworkPolicy
apiVersion: networking.k8s.io/v1
metadata:
  name: allow-nodejs-to-mongo
  namespace: default
spec:
  # 管控目标改为MongoDB Pod
  podSelector:
    matchLabels:
      run: mongo
  ingress:
    - from:
        # 允许来源改为Nodejs Pod
        - podSelector:
            matchLabels:
              app: nodejs-mongo
      # 显式指定MongoDB服务端口
      ports:
        - protocol: TCP
          port: 27017

场景2：仅限制MongoDB入向流量、不影响其他业务 #

把默认拒绝策略的作用范围缩小到MongoDB Pod，避免误伤其他业务：

# 修正后的默认拒绝策略，仅作用于MongoDB
kind: NetworkPolicy
apiVersion: networking.k8s.io/v1
metadata:
  name: mongo-default-deny
  namespace: default
spec:
  podSelector:
    matchLabels:
      run: mongo
  ingress: [] # 显式声明空ingress规则，默认拒绝所有入向
---
# 自定义允许策略
kind: NetworkPolicy
apiVersion: networking.k8s.io/v1
metadata:
  name: allow-nodejs-to-mongo
  namespace: default
spec:
  podSelector:
    matchLabels:
      run: mongo
  ingress:
    - from:
        - podSelector:
            matchLabels:
              app: nodejs-mongo
      ports:
        - protocol: TCP
          port: 27017

如果需要严格限制MongoDB的出向流量仅能发往Nodejs应用，可在MongoDB对应的NetworkPolicy中补充egress规则，配置逻辑和ingress一致，将目标选择器改为Nodejs Pod的标签即可，避免MongoDB主动访问其他外部服务。

• 执行kubectl get pods --show-labels核对MongoDB、Nodejs Pod的实际标签，避免标签键名、值拼写错误导致策略匹配失效。
• 确认集群使用的CNI插件支持NetworkPolicy能力，不支持的话所有NetworkPolicy配置不会生效。

内容的提问来源于stack exchange，提问作者user15068655