网络策略
如果你希望在IP地址或端口层面（OSI第3层或第4层）控制网络流量，则你可以考虑为集群中特定应用使用Kubernetes网络策略（NetworkPolicy）。NetworkPolicy是一种以应用为中心的结构，允许你设置如何允许Pod与网络上的各类网络“实体”（我们这里使用实体以避免过度使用诸如“端点”和“服务”这类常用术语，这些术语在Kubernetes中有特定含义）通信。
Pod可以通信的Pod是通过如下三个标识符的组合来辩识的：
在定义基于Pod或名字空间的NetworkPolicy时，你会使用选择算符来设定哪些流量可以进入或离开与该算符匹配的Pod。
同时，当基于IP的NetworkPolicy被创建时，我们基于IP组块（CIDR范围）来定义策略。
前置条件
网络策略通过网络插件来实现。要使用网络策略，你必须使用支持NetworkPolicy的网络解决方案。创建一个NetworkPolicy资源对象而没有控制器来使它生效的话，是没有任何作用的。
Pod隔离的两种类型
Pod有两种隔离:出口的隔离和入口的隔离。它们涉及到可以建立哪些连接。这里的“隔离”不是绝对的，而是意味着“有一些限制”。另外的，“非隔离方向”意味着在所述方向上没有限制。这两种隔离（或不隔离）是独立声明的，并且都与从一个Pod到另一个Pod的连接有关。
默认情况下，一个Pod的出口是非隔离的，即所有外向连接都是被允许的。如果有任何的NetworkPolicy选择该Pod并在其
policyTypes
中包含“Egress”，则该Pod是出口隔离的，我们称这样的策略适用于该Pod的出口。当一个Pod的出口被隔离时，唯一允许的来自Pod的连接是适用于出口的Pod的某个NetworkPolicy的列表所允许的连接。这些列表的效果是相加的。
默认情况下，一个Pod对入口是非隔离的，即所有入站连接都是被允许的。如果有任何的NetworkPolicy选择该Pod并在其
policyTypes
中包含“Ingress”，则该Pod被隔离入口，我们称这种策略适用于该Pod的入口。当一个Pod的入口被隔离时，唯一允许进入该Pod的连接是来自该Pod节点的连接和适用于入口的Pod的某个NetworkPolicy的列表所允许的连接。这些列表的效果是相加的。
网络策略是相加的，所以不会产生冲突。如果策略适用于Pod某一特定方向的流量，Pod在对应方向所允许的连接是适用的网络策略所允许的集合。因此，评估的顺序不影响策略的结果。
要允许从源Pod到目的Pod的连接，源Pod的出口策略和目的Pod的入口策略都需要允许连接。如果任何一方不允许连接，建立连接将会失败。
NetworkPolicy资源
下面是一个NetworkPolicy的示例:
apiVersion: networking.k8s.io/v1kind: NetworkPolicymetadata:name: test-network-policynamespace: defaultspec:podSelector:matchLabels:role: dbpolicyTypes:- Ingress- Egressingress:- from:- ipBlock:cidr: 172.17.0.0/16except:- 172.17.1.0/24- namespaceSelector:matchLabels:project: myproject- podSelector:matchLabels:role: frontendports:- protocol: TCPport: 6379egress:- to:- ipBlock:cidr: 10.0.0.0/24ports:- protocol: TCPport: 5978
必需字段：与所有其他的Kubernetes配置一样，NetworkPolicy需要
apiVersion
、和字段。
spec：NetworkPolicy规约中包含了在一个名字空间中定义特定网络策略所需的所有信息。
podSelector：每个NetworkPolicy都包括一个
podSelector
，它对该策略所适用的一组Pod进行选择。示例中的策略选择带有“role=db”标签的Pod。空的
podSelector
选择名字空间下的所有Pod。
policyTypes:每个NetworkPolicy都包含一个
policyTypes
列表，其中包含或或两者兼具。
policyTypes
字段表示给定的策略是应用于进入所选Pod的入站流量还是来自所选Pod的出站流量，或两者兼有。如果NetworkPolicy未指定
policyTypes
则默认情况下始终设置；如果NetworkPolicy有任何出口规则的话则设置。
ingress:每个NetworkPolicy可包含一个规则的白名单列表。每个规则都允许同时匹配和部分的流量。示例策略中包含一条简单的规则：它匹配某个特定端口，来自三个来源中的一个，第一个通过指定，第二个通过
namespaceSelector
指定，第三个通过
podSelector
指定。
egress:每个NetworkPolicy可包含一个规则的白名单列表。每个规则都允许匹配和部分的流量。该示例策略包含一条规则，该规则将指定端口上的流量匹配到
10.0.0.0/24
中的任何目的地。
所以，该网络策略示例:
选择器to和from的行为
可以在的部分或的部分中指定四种选择器：
namespaceSelector和podSelector：一个指定
namespaceSelector
和
podSelector
的/条目选择特定名字空间中的特定Pod。注意使用正确的YAML语法；下面的策略：
...ingress:- from:- namespaceSelector:matchLabels:user: alicepodSelector:matchLabels:role: client...
在数组中仅包含一个元素，只允许来自标有
role=client
的Pod且该Pod所在的名字空间中标有
user=alice
的连接。但是这项策略：
...ingress:- from:- namespaceSelector:matchLabels:user: alice- podSelector:matchLabels:role: client...
在数组中包含两个元素，允许来自本地名字空间中标有
role=client
的Pod的连接，或来自任何名字空间中标有
user=alice
的任何Pod的连接。
如有疑问，请使用
kubectldescribe
查看Kubernetes如何解释该策略。
集群的入站和出站机制通常需要重写数据包的源IP或目标IP。在发生这种情况时，不确定在NetworkPolicy处理之前还是之后发生，并且对于网络插件、云提供商、实现等的不同组合，其行为可能会有所不同。
对入站流量而言，这意味着在某些情况下，你可以根据实际的原始源过滤传入的数据包，而在其他情况下，NetworkPolicy所作用的源IP则可能是
LoadBalancer
或Pod的节点等。
对于出站流量而言，这意味着从Pod到被重写为集群外部IP的IP的连接可能会或可能不会受到基于的策略的约束
默认策略
默认情况下，如果名字空间中不存在任何策略，则所有进出该名字空间中Pod的流量都被允许。以下示例使你可以更改该名字空间中的默认行为。
默认拒绝所有入站流量
你可以通过创建选择所有容器但不允许任何进入这些容器的入站流量的NetworkPolicy来为名字空间创建“default”隔离策略。
apiVersion: networking.k8s.io/v1kind: NetworkPolicymetadata:name: default-deny-ingressspec:podSelector: {}policyTypes:- Ingress这样可以确保即使容器没有选择其他任何NetworkPolicy，也仍然可以被隔离。此策略不会更改默认的出口隔离行为。
默认允许所有入站流量
如果要允许所有流量进入某个名字空间中的所有Pod（即使添加了导致某些Pod被视为“隔离”的策略），则可以创建一个策略来明确允许该名字空间中的所有流量。
apiVersion: networking.k8s.io/v1kind: NetworkPolicymetadata:name: allow-all-ingressspec:podSelector: {}ingress:- {}policyTypes:- Ingress默认拒绝所有出站流量
你可以通过创建选择所有容器但不允许来自这些容器的任何出站流量的NetworkPolicy来为名字空间创建“default”隔离策略。
apiVersion: networking.k8s.io/v1kind: NetworkPolicymetadata:name: default-deny-egressspec:podSelector: {}policyTypes:- Egress此策略可以确保即使没有被其他任何NetworkPolicy选择的Pod也不会被允许流出流量。此策略不会更改默认的入站流量隔离行为。
默认允许所有出站流量
如果要允许来自名字空间中所有Pod的所有流量（即使添加了导致某些Pod被视为“隔离”的策略），则可以创建一个策略，该策略明确允许该名字空间中的所有出站流量。
apiVersion: networking.k8s.io/v1kind: NetworkPolicymetadata:name: allow-all-egressspec:podSelector: {}egress:- {}policyTypes:- Egress默认拒绝所有入口和所有出站流量
你可以为名字空间创建“默认”策略，以通过在该名字空间中创建以下NetworkPolicy来阻止所有入站和出站流量。
apiVersion: networking.k8s.io/v1kind: NetworkPolicymetadata:name: default-deny-allspec:podSelector: {}policyTypes:- Ingress- Egress此策略可以确保即使没有被其他任何NetworkPolicy选择的Pod也不会被允许入站或出站流量。
SCTP支持
FEATURESTATE:Kubernetesv1.20[stable]
作为一个稳定特性，SCTP支持默认是被启用的。要在集群层面禁用SCTP，你（或你的集群管理员）需要为API服务器指定
--feature-gates=SCTPSupport=false,...
来禁用
SCTPSupport
特性门控。启用该特性门控后，用户可以将NetworkPolicy的字段设置为。
针对某个端口范围
FEATURESTATE:Kubernetesv1.22[beta]
在编写NetworkPolicy时，你可以针对一个端口范围而不是某个固定端口。
这一目的可以通过使用字段来实现，如下例所示：
apiVersion: networking.k8s.io/v1kind: NetworkPolicymetadata:name: multi-port-egressnamespace: defaultspec:podSelector:matchLabels:role: dbpolicyTypes:- Egressegress:- to:- ipBlock:cidr: 10.0.0.0/24ports:- protocol: TCPport: 32000endPort: 32768
上面的规则允许名字空间中所有带有标签的Pod使用TCP协议与
10.0.0.0/24
范围内的IP通信，只要目标端口介于32000和32768之间就可以。
使用此字段时存在以下限制：
基于名字指向某名字空间
FEATURESTATE:Kubernetes1.22[stable]
只要
NamespaceDefaultLabelName
特性门控被启用，Kubernetes控制面会在所有名字空间上设置一个不可变更的标签
kubernetes.io/metadata.name
。该标签的值是名字空间的名称。
如果NetworkPolicy无法在某些对象字段中指向某名字空间，你可以使用标准的标签方式来指向特定名字空间。
通过网络策略（至少目前还）无法完成的工作
到Kubernetes1.24为止，NetworkPolicyAPI还不支持以下功能，不过你可能可以使用操作系统组件（如SELINUX、OpenVSwitch、IPTables等等）或者第七层技术（Ingress控制器、服务网格实现）或准入控制器来实现一些替代方案。如果你对Kubernetes中的网络安全性还不太了解，了解使用NetworkPolicyAPI还无法实现下面的用户场景是很值得的。
秋天到了,周围的景物会有哪些变化呢?
秋天到了，周围的景物有这些变化：1、谷物成熟了：所谓的秋收季节，水稻、小麦、玉米等谷物，都是在秋天成熟的，农民进入秋收的忙碌时节，同时也享受丰收的喜悦。 2、菊花开了：菊花一般是在秋天盛开的，秋天一到，各种菊花就盛放开来，很多地方也会应景的举办菊花展等赏花活动供市民游玩。 3、银杏叶变黄了：秋天除了丰收之外，很多植物也开始凋零，银杏叶则由原来的绿色转为黄色，随着天气变凉，银杏叶会逐渐掉落。 4、枫叶变黄/红了：秋天是赏枫叶的大好时节，漫山遍野的枫叶，看的人赏心悦目。 约上一群好友，挑个阳光正好的下午，既可以欣赏美景，又能培养感情。 5、橘子熟了：相较于其他在夏季成熟的水果，橘子成熟的季节并不在盛夏，而是在秋天。 橘子的品种很多，各种各样的橘子，在秋天给人带来别样的风味。 参考资料：网络百科-秋天
描写树木茂盛的词语（35个）
林木葱郁,林木参天,枝繁叶茂，树木丛生,葱葱茏茏、密密层层、严严实实 树木成阴,郁郁葱葱，万木萌发,漫山遍野,绿树葱葱，根深叶茂。 密密层层, 枝繁叶茂, 遮天蔽日，郁郁葱葱, 亭亭玉立， 迎风摇曳, 婀娜多姿, 顶天立地, 古木参天, 青松翠竹, 青翠欲滴，生机勃勃，绿树成阴，千姿百态, 盘跟错节。 密密层层, 枝繁叶茂, 遮天蔽日，郁郁葱葱, 亭亭玉立， 迎风摇曳, 婀娜多姿, 顶天立地, 古木参天, 青松翠竹, 青翠欲滴，生机勃勃，绿树成阴，千姿百态, 盘跟错节。 郁郁葱葱 葱葱茏茏 密密层层 严严实实 枝繁叶茂 亭亭如盖 郁郁葱葱 苍翠挺拔 树影婆娑 疏影横斜 横柯障蔽郁郁葱葱 葱葱茏茏 密密层层 严严实实 枝繁叶茂 亭亭如盖 郁郁葱葱 苍翠挺拔 树影婆娑 疏影横斜 横柯障蔽茂盛、繁密、葱葱茏茏、密密层层、严严实实、郁郁葱葱、枝繁叶茂、绿树成荫 树木旺盛高大雄伟、直插云霄 十年树木,百年树人 木已成舟 草木葱茏 树木旺盛，高大挺直百年树人 刀山剑树 耕耘树艺 撼树蚍蜉 暮云春树 蚍蜉撼树 琼林玉树 瑶林琼树 芝兰玉树
我养的兔子长得很快，就是太瘦了。怎么样才能把他们养胖呢？
首先兔子是食草动物，需要从膳食中摄取大量纤维，想养的好就要以草为主食。 若用蔬果和其他食物代替草，你会发现它整天都在吃，永远吃不饱，喂很多营养成分高的食物仍然很瘦。 兔子4个月就长大成年，正确饲喂的家养兔子寿命通常在5~9年，而不以草为主食的兔子寿命在1年左右甚至数月。 蔬果的纤维含量小，兔子将需要进食很大的量才能产生饱腹感，因而在成本上也比牧草高很多。 家庭养宠物兔一般购买草场专门出售的烘干牧草，种类有苜蓿草，提摩西草，燕麦草等，建议在销量大的网店购买，比较新鲜也很便宜方便。 饲喂应以草为主食，干牧草无限供应，同时供应干净的水，用兔粮补充营养（兔粮主要成分是牧草和粗粮），搭配少量蔬果。 不要怕兔子营养不够而喂大量的蔬果和粮食，兔子和其他食草动物如牛、马、羊是一样的，以草为主食就可以健康强壮。 另外要注意的是，兔子不可以喂人吃的零食，里面的调料和添加剂都可能会导致兔子腹泻或死亡。 米面食物也不适合兔子的肠胃，尤其幼兔不可以喂。 平时喂食蔬果时都要洗净晾干，如果是不到4个月的幼兔要将蔬果晒干或风干水分再喂。
发表评论