阻断不必要的出站流量

目标

工作负载被攻陷后立刻连上命令控制服务器，因为出站流量不受限制。本配方在命名空间应用默认拒绝的出站网络策略，再按需允许数据库与 DNS 等白名单目标，并用测试连接验证任意主机超时、白名单目标可达；同时提醒需显式为集群 DNS 放行 53 端口。

步骤要点

1. 在命名空间应用默认拒绝的出站策略。
2. 按需允许数据库等白名单目标。
3. 显式为集群 DNS 放行 UDP/TCP 53。
4. 验证任意主机不可达而白名单可达。

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: default-deny-egress
spec:
  podSelector: {}
  policyTypes:
    - Egress

排错提示

• 默认拒绝后若不放行 DNS 会中断解析。
• 部分 CNI 不真正执行网络策略，需确认。
• 需准确的出站目标清单。

适用边界

• 不覆盖集群边界之外的流量。
• 策略支持依 CNI 而异。