Firewall
Wer deine Workloads erreichen darf und was sie erreichen dürfen. Standardmässig zu, mit drei Schaltern für den Rest.
Auf dieser Seite
Was das ist
Jedes Projekt startet geschlossen. Von aussen kommt niemand hinein, und was hinausgeht, bestimmen drei Schalter, die dir gehören. Auf dieser Grundlage schreibst du Regeln für den Verkehr, den du wirklich willst.
Dieser Weg funktioniert ab Werk. Alles, was nicht darauf liegt, braucht eine Regel. Genau das ist der Sinn: Ein Workload, dem niemand Zugriff gegeben hat, ist ein Workload, den niemand erreicht.
Wann du das brauchst
- Ein zweites Projekt soll die Datenbank von diesem erreichen.
- Eine App muss eine externe API aufrufen, während das Projekt sonst dicht ist.
- Du willst belegen, dir selbst oder einer Revision, womit ein Workload tatsächlich sprechen kann.
Die drei Standardwerte
| Schalter | Standard | Was Ausschalten bedeutet |
|---|---|---|
| Talk to project apps | an | Workloads im Projekt erreichen einander nicht mehr. Deine App verliert ihre Datenbank. |
| Resolve names (DNS) | an | Nichts im Projekt löst noch Namen auf. Fast alles bricht, inklusive allem, was an einem Hostnamen hängt. |
| Reach the internet | an | Keine ausgehenden Verbindungen ins öffentliche Internet. Ein abgeschottetes Projekt, was eine echte und laute Anforderung ist. |
Diese Schalter gelten projektweit. Schaltest du einen aus, gilt das für jeden Workload. Behandle sie als Haltung und nicht als Regler.
Resolve names (DNS) auszuschalten bricht mehr, als es aussieht. Namen lösen nirgends mehr auf, und die Fehler zeigen sich als Timeouts an unbeteiligten Stellen statt als klare Ablehnung.
Eine Regel schreiben
Öffne Network und leg eine Policy an. Eine Regel benennt Quelle, Ziel und Port, und sie wirkt additiv: Regeln erlauben nur, sie nehmen nie etwas weg. Willst du etwas wegnehmen, schaltest du einen Standardwert aus.
klickops kann Regeln auch aus beobachtetem Verkehr ableiten. Statt zu raten, womit eine App spricht, lässt du sie laufen und lässt dir dann die Regeln vorschlagen, die zu den gesehenen Flows passen. Lies sie durch, bevor du sie übernimmst: Beobachteter Verkehr enthält, was passiert ist, und nicht nur, was passieren sollte.
Sehen, was läuft
Die Ansicht Flows zeigt laufende Verbindungen zwischen Workloads, auch die abgelehnten. Die abgelehnte ist die nützliche: Sie sagt dir genau, welche Regel fehlt, statt dich aus einem Timeout raten zu lassen.
Grenzen und Fallstricke
- Verkehr im Projekt ist durch diese Regeln nicht verschlüsselt. Die Firewall entscheidet, wer verbinden darf, nicht wie die Verbindung aussieht.
- Regeln erlauben nur. Ist etwas erreichbar und soll es nicht sein, schau bei den Standardwerten nach und nicht bei einer weiteren Policy.
- Ablehnungen sehen aus wie Hänger. Eine blockierte Verbindung läuft meistens in einen Timeout statt abgewiesen zu werden. Eine rätselhaft langsame Anfrage lohnt darum einen Blick in Flows.
- Das braucht Cilium im Cluster. Ohne Cilium sind die Schalter nur lesbar und spiegeln, was an Policies vorhanden ist, statt es zu steuern.