TungstenFabric+K8s轻松上手丨通过Kube

步骤6：在应用策略之前测试

为了能有一个“前后”对比，让我们部署示例应用程序并获取基线：

#部署我们的应用

kubectl create -f cnawebapp-loadbalancer.yaml

等待应用启动并在外部可用：

#获得我们程序yelb-ui Service的外部DNS名字:

kubectl get svc -o wide | grep yelb-ui | awk '{print $4}'

我们应该可以看到类似a0b8dfc14916811e9b411026463a4a33-1258487840.us-west-1.elb.amazonaws.com的输出；在网络浏览器中打开它；样本应用程序应当加载了。

接下来，我们知道所有Pod通信都是不受限制的，因此我们应该能够从yelb-ui ping 到yelb-db——这是在应用程序正常运行且我们不进行故障排除动作的情况下，本来不应该发生的活动：

#获得"yelb-ui"的完整Pod名字

src_pod=$(kubectl get pods | grep yelb-ui | awk '{print $1}')

#获得"yelb-db"的IP:

db_pod_ip=$(kubectl get pods -o wide | grep yelb-db | awk '{print $6}')

#从"yelb-ui" ping"yelb-db":

kubectl exec -it ${src_pod} ping ${db_pod_ip}

我们应该看到该ping命令正在接收响应；因此存在不受限制的网络连接。按^ C停止命令。

步骤7：部署策略并测试结果

在最后一步，我们将部署策略并观察其效果：

#部署网络策略

kubectl create -f yelb-policy.yaml

运行上面的命令后，请等待几秒钟以稳定下来。Tungsten Fabric将在后台生成适当的安全组，并进行安装。让我们测试一下我们曾经可以正常运行的ping命令是否仍然有效：

#从"yelb-ui" ping "yelb-db" again:

kubectl exec -it ${src_pod} ping ${db_pod_ip}

这次，我们看到没有响应，因为该通信现在已被该策略阻止。接下来，测试是否仍可以通过网络浏览器访问该应用——应该可以！

步骤8：探索Tungsten Fabric的安全流量组可视化

Tungsten Fabric包含一个功能，可在“项目”中实现流量可视化，在我们的案例中，该项目对应于Kubernetes Namespace。

要访问它，请访问Carbide Evaluation Page链接，用于获取访问沙箱控制节点——在顶部有一个名为Contrail UI的链接，完成login和password的输入。单击链接，然后在左上角单击“Monitor”图标，然后在菜单中单击“Security” -> “Traffic Groups”。然后在顶部的标签链，在其末尾选择“k8s-default”：

您应该看到类似于以下的图表：

继续测试。您看到的流，代表示例应用程序在做的事情，包括无法从 yelb-uiping到yelb-db，以及yelb-appserver的出站请求（如果我们去查看，将转到yelb-db的DNS查询）。

清理

一旦进行了足够的探索，可以随时清理：

#卸载Network Policy

kubectl delete -f yelb-policy.yaml

#删除我们的示例应用程序:

kubectl delete -f cnawebapp-loadbalancer.yaml

#删除策略清单:

rm -f yelb-policy.yaml

回顾和资源

对于许多（即使不是全部）生产部署，控制应用程序的网络通信能力至关重要。在Kubernetes上运行的应用程序实现此类控件的方法是通过NetwokPolicy资源。但是，要使这些资源真正起作用，您需要一个支持它们的CNI插件。

Tungsten Fabric提供了完整的NetworkPolicy支持，无论集成Tungsten Fabric的Kubernetes在哪里运行，是在私有数据中心，还是在公共云中。

网络策略可以变得非常简单或非常复杂，而找出最适合您的应用程序的最佳方法，就是在我们提供的用例和示例基础上更深入地研究。这里有一些资源可能会有所帮助：

• 网络策略的详细介绍
• 一个不错的GitHub存储库，其中包含大量具有详细文档的网络策略清单示例
• 在2019 Kubecon上的演讲中有一个介绍网络策略的很好的材料

（上述资源链接，可点击下载查看https://tungstenfabric.org.cn/assets/uploads/files/tf-ceg-case4.pdf）

至此，Tungsten Fabric Carbide指南文章系列文章告一段落，往期回顾——

第一篇：TF Carbide 评估指南--准备篇
第二篇：通过Kubernetes的服务进行基本应用程序连接
第三篇：通过Kubernetes Ingress进行高级外部应用程序连接
第四篇：通过Kubernetes命名空间实现初步的应用程序隔离

【号外】TF中文社区3月Meetup活动，将聚焦Tungsten Fabric与K8s的集成，由重量级嘉宾分享Tungsten Fabric与K8s的部署和实践，详细演示操作过程，并解答关于Tungsten Fabric和K8s的一切问题。关注“TF中文社区”公众号，了解最新活动信息。

关于Tungsten Fabric：
Tungsten Fabric项目是一个开源项目协议，它基于标准协议开发，并且提供网络虚拟化和网络安全所必需的所有组件。项目的组件包括：SDN控制器，虚拟路由器，分析引擎，北向API的发布，硬件集成功能，云编排软件和广泛的REST API。
关于TF中文社区：
TF中文社区由中国的一群关注和热爱SDN的志愿者自发发起，有技术老鸟，市场老炮，也有行业专家，资深用户。将作为连接社区与中国的桥梁，传播资讯，提交问题，组织活动，联合一切对多云互联网络有兴趣的力量，切实解决云网络建设过程中遇到的问题。

关注微信：TF中文社区