默认拒绝下放行 Ingress 控制器

给业务上默认拒绝策略后，Ingress 控制器到后端的入向流量也要显式放行，否则入口返回 503 且应用毫无请求日志。

Kubernetes 速查云更新于 2026-10-12

放行入口控制器

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-ingress-controller
  namespace: prod
spec:
  podSelector:
    matchLabels:
      app: web
  policyTypes: ["Ingress"]
  ingress:
    - from:
        - namespaceSelector:
            matchLabels:
              kubernetes.io/metadata.name: ingress-nginx
      ports:
        - protocol: TCP
          port: 8080

控制器与业务常不在同一命名空间：用 namespaceSelector 按命名空间标签放行比按 Pod IP 稳。

易错点

控制器回源 IP 是该命名空间内 Pod IP，用 ipBlock 写节点 IP 往往不匹配
kube-system 相关探针/监控流量也要按需放行，回收规则时容易误伤

数据来源与参考

Kubernetes 官方文档 · NetworkPolicy / ingress-nginx 网络要求

继续搜索

常用关键词：3389 traceroute iptables 子网掩码 docker

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌