| 语义 | 只声明允许；未匹配流量按默认拒绝逻辑处理 |
|---|---|
| 方向 | Ingress（入）/ Egress（出）/ 双向 |
| 选择器 | podSelector 选目标 + from/to 选来源或目的 |
| 作用域 | 命名空间级对象，只影响同命名空间的 Pod |
| 前置 | CNI 插件必须实现策略，否则对象存在但不生效 |
默认拒绝 + 放行示例
默认拒绝 + 放行示例
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
name: web-allow
namespace: dev
spec:
podSelector:
matchLabels: { app: web }
policyTypes: ["Ingress"]
ingress:
- from:
- podSelector:
matchLabels: { app: frontend }
ports:
- protocol: TCP
port: 8080
上 NSP 前先在测试环境验证：策略写错会整片服务互不通，且症状是『超时』，排查成本高。