Bir Kubernetes kümesinde pod’lar varsayılan olarak birbirine tümüyle açıktır; herhangi bir pod, başka herhangi bir pod ile ağ üzerinden serbestçe konuşabilir. Kubernetes ağ politikaları, bu açık modeli daraltarak hangi pod’un hangi pod’la, hangi port üzerinden haberleşebileceğini etiket tabanlı kurallarla tanımlayan nesnelerdir. Bir kez tanımlandığında, kurala uymayan trafik ağ eklentisi tarafından düşürülür.

Ağ politikaları küme içinde bir güvenlik duvarı gibi davranır; ama IP adresine değil, pod’ların taşıdığı etiketlere göre karar verdiğinden pod’lar gelip gitse de kural yerinde kalır.

Nasıl Tanımlanır?

Politikalar IP adresi yerine etiket seçicileriyle yazılır. Örneğin ‘role=frontend’ etiketli pod’ların yalnızca ‘role=api’ etiketli pod’lara 8080 portundan erişebileceği bir kural kurulabilir. Pod’lar ölçeklenip yeni IP’lerle geldiğinde bile kural etikete bağlı olduğu için geçerliliğini korur. Bu yaklaşım, geleneksel ağ segmentasyonu mantığını dinamik konteyner dünyasına taşır ve elle IP yönetiminin getirdiği hataları ortadan kaldırır.

Varsayılanı Kapatmak

Etkili bir kurulumun ilk adımı, her namespace için tüm gelen trafiği reddeden bir taban politika koyup ardından yalnızca gereken yolları tek tek açmaktır. Bu ‘önce reddet’ yaklaşımı, mikro segmentasyon‘un küme içindeki karşılığıdır; her iş yükü yalnızca konuşması gereken komşularla konuşur, geri kalan her yol kapalıdır. Böylece bir pod ele geçirilse bile saldırganın kümede yanal olarak yayılması ciddi biçimde zorlaşır.

Sıfır Güvenle İlişkisi

Ağ politikaları, sıfır güven mimarisi ilkelerinin ağ katmanındaki somut uygulamasıdır: hiçbir bağlantı konumu nedeniyle güvenilir sayılmaz, her yol açıkça izin verilmedikçe kapalıdır. Uygulama düzeyinde kimlik doğrulamalı erişim kuran sıfır güven ağ erişimi yaklaşımıyla birleştiğinde, hem kimin bağlandığı hem de hangi pod’ların birbirine ulaşabildiği aynı anda denetlenir.

• Her namespace için varsayılan olarak tüm gelen trafiği reddeden bir taban politika tanımlayın.
• Yalnızca gereken pod-port yollarını etiket seçicileriyle açık kural olarak ekleyin.
• Giden trafiği de kısıtlayarak ele geçirilen pod’un dışarıyla bağlantısını sınırlayın.
• Kümenin ağ eklentisinin politikaları gerçekten uyguladığını doğrulayın.

Kritik bir ayrıntı, ağ politikalarının yalnızca bunları destekleyen bir ağ eklentisi kullanıldığında zorunlu kılınmasıdır. Eklenti politikaları yorumlamıyorsa, tanımlanan kurallar küme veritabanında durur ama trafiğe hiç etki etmez; bu sessiz boşluk mutlaka test edilmelidir.

Kurumsal Değer

İyi tasarlanmış bir politika seti, bir ihlalin tek bir pod’da sınırlı kalmasıyla tüm kümeye yayılması arasındaki farkı belirler. Privia Security, küme içi trafiğin nasıl segmente edildiğini ve politikaların gerçekten uygulanıp uygulanmadığını bir altyapı ve mimari gözden geçirme kapsamında inceler.