[发明专利]基于kubernetes的网络安全访问的控制方法

权利要求书

1.一种基于kubernetes的网络安全访问的控制方法，其特征在于，其包括：

在kubernetes上，以DaemonSet的形式部署WeaveNet，每个Pod中都包含weave-kube和weave-npc；所述weave-kube用于构建网络，所述weave-npc为NetworkPolicyController；

WeaveNet在每台主机上创建一个Weave bridge网桥，作为主机上所有接入weave网络的Pod的网关，不同主机的Weave bridge网桥之间的数据流通过VxLAN协议转发，除此之外的其他数据流在主机上经过SNAT进入主机网络；

所述weave-npc通过API Server监听NetworkPolicy的变化，并随之改变配置，所述WeaveNet在得到NetworkPolicyPeer对象后，根据其中的Selector筛选出符合条件的Pod，得到Pod的IP地址，然后在符合条件的Pod所在主机iptables的Filter表中设置规则，接受来自这些IP地址的请求；

还包括：创建kubernetes自定义资源对象，来管理NetworkPolicy的生命周期；

在创建kubernetes自定义资源对象后，创建kubernetes的资源ServiceRule，所述ServiceRule用于创建NetworkPolicy资源；

采用cos-access-control监听ServiceRule的状态，对ServiceRule进行更新并且同步到Turtle中；

所述cos-access-control在启动后开始监听集群中的状态，如果有新增资源，则先判断ServiceRule的状态，如果是处于Initial状态，则初始化本地和对端的ServiceRule，为其中的字段赋值；随后更改ServiceRule的状态为 Created ，在此状态下，更新ServiceRule和Update ServiceRule的值并同步到Turtle；随后更改ServiceRule为synced，此时，cos-access-control根据ServiceRule各字段的值创建NetworkPolicy。

2.根据权利要求1所述的基于kubernetes的网络安全访问的控制方法，其特征在于：所有请求进入主机网络时经过DNAT，DNAT将目标地址和端口转换成Service对应的Pod及其端口；

经由Weave bridge网桥将请求转发到Pod或者另一台Node的Weave Bridge网桥前进行一次SNAT，将源地址修改为Weave Bridge的地址；

针对每个Pod的NetworkPolicy应用到所有的Node上。

3.根据权利要求2所述的基于kubernetes的网络安全访问的控制方法，其特征在于：所述kubernetes自定义资源对象包括ServiceRule的Initial、Created、Updated、Synced、Running状态。

4.一种电子设备，其特征在于：其包括处理器、存储器以及程序，其中所述程序被存储在所述存储器中，并且被配置成由处理器执行，所述程序包括用于执行如权利要求1-3任意一项所述的基于kubernetes的网络安全访问的控制方法。

5.一种计算机可读存储介质，其上存储有计算机程序，其特征在于：所述计算机程序被处理器执行以实现如权利要求1-3任意一项所述的基于kubernetes的网络安全访问的控制方法。