Go不执行NetworkPolicy，而是通过client-go操作API声明策略；策略由CNI插件（如Calico）执行，需指定命名空间、标签、端口等，遵循“默认拒绝”原则。
在 Kubernetes 中，NetworkPolicy 是控制 Pod 间网络通信的核心机制，Golang 本身不直接“处理”网络策略——它不参与策略的执行，但你可以在 Go 编写的控制器、Operator 或 CLI 工具中 定义、校验、部署或管理 NetworkPolicy 资源。关键在于：用 Go 操作 Kubernetes API 来声明和维护这些策略。
理解 NetworkPolicy 的作用边界
NetworkPolicy 是 Namespace 级别的 NetworkPolicy 对象，由 CNI 插件（如 Calico、Cilium、kube-router）实际执行。Go 程序只需按标准格式构造 YAML/JSON 并提交给 kube-apiserver，无需实现底层包过滤逻辑。
- 只对 支持 NetworkPolicy 的 CNI 插件 生效（默认 kubenet 不支持）
- 默认 允许所有入站/出站流量；策略是“默认拒绝，显式放行”
- 只能基于 标签（labels）、命名空间、IPBlock、端口 进行匹配，不支持域名或应用层规则
用 Go 定义并创建一个基础限制策略
以下是一个典型场景：只允许 frontend 命名空间中的带 app=web 标签的 Pod 访问 backend 命名空间中 app=api 的 Pod 的 8080 端口。
使用 kubernetes/client-go 实现：
立即学习“go语言免费学习笔记（深入）”；
import (
metav1 "k8s.io/apimachinery/pkg/apis/meta/v1"
networkingv1 "k8s.io/api/networking/v1"
"k8s.io/client-go/kubernetes"
)
policy := &networkingv1.NetworkPolicy{
ObjectMeta: metav1.ObjectMeta{
Name: "allow-web-to-api",
Namespace: "backend", // 策略作用于 backend 命名空间
},
Spec: networkingv1.NetworkPolicySpec{
PodSelector: metav1.LabelSelector{
MatchLabels: map[string]string{"app": "api"},
},
PolicyTypes: []networkingv1.PolicyType{"Ingress"},
Ingress: []networkingv1.NetworkPolicyIngressRule{{
From: []networkingv1.NetworkPolicyPeer{{
NamespaceSelector: &metav1.LabelSelector{
MatchLabels: map[string]string{"name": "frontend"},
},
PodSelector: &metav1.LabelSelector{
MatchLabels: map[string]string{"app": "web"},
},
}},
Ports: []networkingv1.NetworkPolicyPort{{
Protocol: &protocol,
Port: &intstr.FromInt(8080),
}},
}},
},
}
_, err := clientset.NetworkingV1().NetworkPolicies("backend").Create(context.TODO(), policy, metav1.CreateOptions{})
在 Operator 中动态生成策略
如果你用 Go 开发自定义 Operator（例如管理微服务拓扑），可在 Reconcile 中根据 CRD 状态自动同步 NetworkPolicy：
- 监听 Service 或自定义资源变更（如
MicroService） - 解析依赖关系（如 A → B，则为 B 的命名空间生成允许 A 访问的 Ingress 策略）
- 调用
Update()或Apply()（配合 kubectl apply 语义）避免重复创建 - 注意清理：当服务下线时，删除对应策略或打上
ownerReferences让 GC 自动回收
验证与调试建议
Go 程序无法替代人工验证，但可集成检查逻辑：
- 用
clientset.NetworkingV1().NetworkPolicies(ns).List()获取当前策略，做一致性比对 - 结合
Pod列表 + 标签筛选，确认目标 Pod 是否被podSelector正确覆盖 - 输出策略摘要日志（如 “已为 namespace/backend 启用 api 访问白名单：来自 frontend/web”）
- 提醒用户检查 CNI 插件状态（
kubectl get pods -n kube-system | grep -E 'calico|cilium'）
基本上就这些。NetworkPolicy 不复杂但容易忽略命名空间上下文和 CNI 兼容性——Go 的角色是可靠地“说清楚你要什么”，剩下的交给集群网络层去执行。
