建立允許所有流量的網路政策

本頁面提供操作說明，說明如何在 Google Distributed Cloud (GDC) 實體隔離環境中，設定允許所有流量的網路政策。

專案網路政策會定義輸入或輸出規則。您可以定義政策，允許專案內、專案間以及與外部 IP 位址的通訊。

事前準備

如要設定允許所有流量的網路政策，您必須具備下列條件：

• 必要的 ID 和存取權角色。詳情請參閱「準備預先定義的角色和存取權」。
• 現有專案。詳情請參閱「建立專案」一文。

建立允許所有流量的政策

這項政策允許來自任何來源的流量，包括其他專案和外部 IP 位址。

允許所有連入流量

如要允許來自任何來源的所有傳入流量進入專案中的所有工作負載，請建立下列政策：

kubectl --kubeconfig GLOBAL_API_SERVER apply -f - <<EOF
apiVersion: networking.global.gdc.goog/v1
kind: ProjectNetworkPolicy
metadata:
  namespace: PROJECT
  name: allow-all-ingress
spec:
  policyType: Ingress
  ingress:
  - {}
EOF

允許所有輸出流量

如要允許專案中所有工作負載將所有輸出流量傳輸至任何目的地，請建立下列政策：

kubectl --kubeconfig GLOBAL_API_SERVER apply -f - <<EOF
apiVersion: networking.global.gdc.goog/v1
kind: ProjectNetworkPolicy
metadata:
  namespace: PROJECT
  name: allow-all-egress
spec:
  policyType: Egress
  egress:
  - {}
EOF

更改下列內容：

• GLOBAL_API_SERVER：全域 API 伺服器的 kubeconfig 路徑。詳情請參閱「全球和區域 API 伺服器」。 如果尚未為 API 伺服器產生 kubeconfig 檔案，請參閱「登入」一文瞭解詳情。
• PROJECT：您要允許所有流量的專案名稱。

建立允許所有外部流量的政策

這項政策允許與機構外部 IP 位址之間的流量。

允許所有外部輸入流量

如要允許來自外部 IP 位址的所有輸入流量進入專案中的所有工作負載，請建立下列政策：

kubectl --kubeconfig GLOBAL_API_SERVER apply -f - <<EOF
apiVersion: networking.global.gdc.goog/v1
kind: ProjectNetworkPolicy
metadata:
  namespace: PROJECT
  name: allow-all-external-ingress
spec:
  policyType: Ingress
  ingress:
  - from:
    - ipBlock:
        cidr: 0.0.0.0/0
EOF

警告： 由於 0.0.0.0/0 CIDR 區塊與機構內跨區域和叢集的工作負載不符，這項規則會封鎖來自這些工作負載的流量。

允許所有外部輸出流量

如要允許專案中所有工作負載的所有輸出流量前往外部 IP 位址，請建立下列政策：

kubectl --kubeconfig GLOBAL_API_SERVER apply -f - <<EOF
apiVersion: networking.global.gdc.goog/v1
kind: ProjectNetworkPolicy
metadata:
  namespace: PROJECT
  name: allow-all-external-egress
spec:
  policyType: Egress
  egress:
  - to:
    - ipBlock:
        cidr: 0.0.0.0/0
EOF

更改下列內容：

• GLOBAL_API_SERVER：全域 API 伺服器的 kubeconfig 路徑。詳情請參閱「全球和區域 API 伺服器」。 如果尚未為 API 伺服器產生 kubeconfig 檔案，請參閱「登入」一文瞭解詳情。
• PROJECT：您要允許所有外部流量的專案名稱。

建立允許所有專案的流量政策

這項政策允許機構內所有專案的流量。

允許所有專案的輸入流量

如要允許所有專案的傳入流量進入專案中的所有工作負載，請建立下列政策：

kubectl --kubeconfig GLOBAL_API_SERVER apply -f - <<EOF
apiVersion: networking.global.gdc.goog/v1
kind: ProjectNetworkPolicy
metadata:
  namespace: PROJECT
  name: allow-all-projects-ingress
spec:
  policyType: Ingress
  ingress:
  - from:
    - projectSelector: {}
EOF

允許所有專案的輸出流量

如要允許專案中所有工作負載的輸出流量流向所有專案，請建立下列政策：

kubectl --kubeconfig GLOBAL_API_SERVER apply -f - <<EOF
apiVersion: networking.global.gdc.goog/v1
kind: ProjectNetworkPolicy
metadata:
  namespace: PROJECT
  name: allow-all-projects-egress
spec:
  policyType: Egress
  egress:
  - to:
    - projectSelector: {}
EOF

更改下列內容：

• GLOBAL_API_SERVER：全域 API 伺服器的 kubeconfig 路徑。詳情請參閱「全球和區域 API 伺服器」。 如果尚未為 API 伺服器產生 kubeconfig 檔案，請參閱「登入」一文瞭解詳情。
• PROJECT：您要允許所有專案流量的專案名稱。