La policy que permite la API pero bloquea sus nombres | Labs | DevOps in Practice

inventory-api comenzó a fallar después de desplegar una egress policy. Los Pods están Running, pero no resuelven redis.cache.svc.cluster.local.

Separa resolución de nombres y conectividad TCP desde un Pod afectado.

Prueba: kubectl exec deployment/inventory-api -- nslookup redis.cache.svc.cluster.local

Comando de terminal

Service discovery funciona sin abrir egress ampliamente.

inventory-api resuelve y alcanza Redis mientras se conserva la frontera default-deny.

Lección

Las NetworkPolicies fallan en los límites de dependencias. Aísla DNS de la conectividad por IP y agrega la regla mínima para la dependencia faltante: UDP y TCP 53 hacia los Pods DNS reales del cluster.

Editar networkpolicy/inventory-egress

Conserva default-deny y la regla de Redis. Agrega DNS solo hacia kube-dns en UDP y TCP 53.

Agrega los selectors kube-system + k8s-app: kube-dns y permite UDP 53 y TCP 53.

Conceptos clave

DNS es una dependencia de la aplicación

Permitir un destino no ayuda si el cliente no puede resolver su nombre.

Qué es

El DNS del cluster traduce nombres de Services a IPs virtuales antes de iniciar la mayoría de conexiones.

En este incidente

El tráfico a la IP de Redis está permitido, pero las consultas a kube-dns hacen timeout.

Por qué importa

Las policies default-deny deben contemplar dependencias fundamentales como DNS.

Prueba una capa de red a la vez

Una prueba por IP distingue DNS de reachability al destino.

Qué es

El diagnóstico por capas prueba resolución, routing, transporte, TLS y aplicación por separado.

En este incidente

TCP hacia 10.96.77.12:6379 funciona mientras nslookup falla.

Por qué importa

Evita cambiar Redis o la aplicación cuando el fallo está en egress DNS.

Permite la dependencia, no todo internet

El acceso DNS puede limitarse por namespace, Pod, protocolo y puerto.

Qué es

NetworkPolicy combina selectors y puertos para describir tráfico permitido bajo default-deny.

En este incidente

La regla nueva apunta a Pods kube-dns en kube-system solo por UDP y TCP 53.

Por qué importa

Permitir 0.0.0.0/0 en todos los puertos restauraría servicio destruyendo la frontera de seguridad.