IR
а как он кстати проверяет публичность порта? У меня например снаружи все прикрыто, внутри кластера netpol. Но внутри kube-system и для namespace мониторинга порт вполне может быть открыт
он смотрит наличие флагов в статик подах
Size: a a a
2020 December 03
DS
он смотрит наличие флагов в статик подах
мде. Божестевенная проверка
GG
я сейчас больше смотрю на
https://github.com/dev-sec/cis-kubernetes-benchmark
и
https://github.com/raspbernetes/k8s-security-policies
https://github.com/dev-sec/cis-kubernetes-benchmark
и
https://github.com/raspbernetes/k8s-security-policies
AL
мде. Божестевенная проверка
А ты какую хотел?
DS
А ты какую хотел?
порт сканинг, снаружи и изнутри всех namespace'ов, за исключением определенных, которые ты указал в конфиге например
GG
порт сканинг, снаружи и изнутри всех namespace'ов, за исключением определенных, которые ты указал в конфиге например
+
GG
а как он кстати проверяет публичность порта? У меня например снаружи все прикрыто, внутри кластера netpol. Но внутри kube-system и для namespace мониторинга порт вполне может быть открыт
netpol покажи свои ?
GG
я че-то попробовал нетпол пописать, какой-то ад микроменеджмента
AL
он смотрит наличие флагов в статик подах
Он смотри не в статик поды а в ps
DS
я че-то попробовал нетпол пописать, какой-то ад микроменеджмента
да, довольно ограниченные в плане возможностей. Ну вот для kube-system так: https://pastebin.com/pX3PCiqt
DS
в cilium свои crd вроде как по гибче будут
GG
в cilium свои crd вроде как по гибче будут
ага, только это уже 3 kind
GG
да и с калико та же история - нетполиси базовые убогие
GG
поэтому придется использовать вендорские расширения
GG
а как только на них ты подсел - это прямая дорога к платному цилиум или калико
DS
ага, только это уже 3 kind
а все равно придется. У меня например в cilium выше указанный netpol все сломал (в других cni никаких проблем не было). Пришлось добавлять политики от cilium (https://t.me/kubernetes_ru/314910)
Это скорее всего связано с тем , что когда появляется любая политика, cilium включает дроп всего по умолчанию. Но некоторые правила дропов нельзя разрешить политиками куба, потому что там используются абстракции cilium для них (reserved:remote-node)
Это скорее всего связано с тем , что когда появляется любая политика, cilium включает дроп всего по умолчанию. Но некоторые правила дропов нельзя разрешить политиками куба, потому что там используются абстракции cilium для них (reserved:remote-node)
GG
я был бы признателен, если выложишь полный конфиг
GG
у меня, кстати, короче вышло, вроде как
GG
но от базового NP, наверное, откажусь - надо все на CNP переписать и на ClusterWide политику тоже (по идее крутая опция у цилиума)
DS
я был бы признателен, если выложишь полный конфиг
да у меня все остальные полиси практически такие-же. Для каждого namespace в котором приложухи разрешено ходить из kube-system, monitoring, ingress-nginx и внутри самого namespace. https://pastebin.com/47vHpAwN. И так для кажого namespaace, для kube-system выше скинул. Вот и все конфиги для netpol получается
Каких-то тонких полиси на уровне приложений не юзаю. Просто изолирую каждый namespace, и разрешаю в него ходить из namespace'ов kube-system, monitoring, ingress-nginx
Каких-то тонких полиси на уровне приложений не юзаю. Просто изолирую каждый namespace, и разрешаю в него ходить из namespace'ов kube-system, monitoring, ingress-nginx