-
질문 & 답변
카테고리
-
세부 분야
데브옵스 · 인프라
-
해결 여부
해결됨
NetworkPolicy ipBlock에 대한 질문 입니다.
22.04.23 04:49 작성 조회수 412
2
현재 제 환경에서 실습을 위해 접속하는 net의 ip주소는 172.16.132.37 입니다.
egress설정을 통해 172.16.0.0/17대역 쪽으로만 나가도록 허용했는데 방화벽의 아웃바운드와 같은 개념이라면 net에서 트래픽이 나가는 것 자체가 안되거나
ping 통신의 경우 트래픽을 주고 받기 때문에172.16.103.147이 net에서 보낸 트래픽을 받는 건 가능하더라도 net으로 다시 트래픽을 보내는건 불가능 하다고 생각합니다.
net(172.16.132.37)이 172.16.103.147 주소를 가진 pod와 어떻게 ping통신이 가능한지 궁금합니다!
답변을 작성해보세요.
2
조훈(Hoon Jo)
지식공유자2022.04.28
안녕하세요
비모님이 설명하신거에 약간만 부연 설명 드립니다.
Ingress와 egress는 통상적으로 네트워크 관점으로 볼때
리시버(Router, Server, Firewall 등)에 대한 Ingress와 Egress를 의미합니다.
강의 중에 있던 아래의 그림을 다시 한번 생각해 보시면 아실꺼에요
그래서 비모님이 얘기한게 틀린게 아니라
업계에서 통상적으로 ingress와 egress를 얘기할때는 출발지라고 얘기하기 보다 리서버에 인입(ingress)되는 트래픽으로 생각하시는게 더 업계 스러울 것 같아요. :)
이는 클라우드의 VPC Firewall 나 ACL 에도 같이 적용되는 부분으로 그냥 업계 공통어라고 보시면 될 것 같아요.
도움이 되셨으면 좋겠습니다.
조훈 드림.
1
비모
지식공유자2022.04.27
안녕하세요, 민수님.
튜터 비모입니다.
이미 테스트까지 완료해주셔서 알고계신 내용이지만 캡처해주신 화면의 결과를 정리하면 아래와 같습니다.
ingress:
- from:
- ipBlock:
# 172.16.0.1 - 172.16.255.254
cidr: 172.16.0.0/16
egress:
- to:
- ipBlock:
# 172.16.0.1 - 172.16.127.254
cidr: 172.16.0.0/17
1) 172.16.132.37 -> 172.16.103.147 : Ping 가능
2) 172.16.132.37 -> 172.16.221.157 : Ping 불가
문의주신 위 NetworkPolicy 설정에서 IP 172.16.132.37를 가진 Pod가 어떻게 172.16.103.147 과 Ping이 가능한지에 대해서는,
최초로 패킷을 보내는 출발지의 관점에서 정책을 적용받는다고 생각해주시면 이해에 도움이 되실 것 같습니다.
ingress 의 ipBlock 설정은 172.16.0.0/16에서 들어오는 트래픽을 허용하며,
egress 의 ipBlock 설정은 172.16.0.0/17로 나가는 트래픽 허용한다는 의미 입니다.
말씀해주신 것과 같이 Ping은 request, reply를 주고받게 되는데
1번 항목은 최초 목적지가 egress에서 허용한 IP대역에 포함되어 있기 때문에 172.16.132.37 -> 172.16.103.147 로 echo request가 가능하며, 이후 해당 ICMP 패킷에 대한 echo reply는 ingress 정책을 적용받아 Ping이 가능하게 됩니다.
Networkpolicy에 대한 보다 자세한 내용이 필요하신 경우 아래 문서를 참조 부탁 드립니다.
- 네트워크 정책
https://kubernetes.io/ko/docs/concepts/services-networking/network-policies/
혹시 추가로 궁금하신 점이 있으면 남겨주세요
민수
질문자2022.04.27
172.16.103.147에 관점에서 egress정책을 적용받아 172.16.132.37로 통신이 안되는게 아니라
최초 출발지의 관점에서 정책을 적용받기 때문에 ingress정책에 정의한 대로 172.16.x.x에서 들어오는 모든 트래픽(reply 패킷)을 받을 수 있다는 말이군요
최초의 출발지 관점에서 정책을 적용 받는다고 생각하니 확실히 이해 했습니다. 감사합니다!
1
답변 3