Πώς περιορίζεται η αλληλεπίδραση μεταξύ εφαρμογών που λειτουργούν σε διαφορετικά namespace;

Πολιτικές Δικτύου: Καθορίζουν ποιες ομάδες pods επιτρέπεται να αλληλεπιδρούν μεταξύ τους και με εξωτερικά σημεία τερματισμού. Εφαρμόζονται σε επίπεδο Namespace, Pod ή Egress.

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: deny-cross-namespace
  namespace: default # Namespace στο οποίο εφαρμόζεται η πολιτική
spec:
  podSelector: {} # Εφαρμόζεται σε όλους τους pods στο Namespace 'default'
  policyTypes:
    - Ingress
    - Egress
  ingress:
    - from:
        - podSelector: {} # Επιτρέπει εισερχόμενο traffic από pods στο ίδιο Namespace
  // Δεν υπάρχει ενότητα egress, που μπλοκάρει προεπιλογή όλο το εξερχόμενο traffic
  // Εκτός από περιπτώσεις που επιτρέπονται ρητά.

Service Meshes (π.χ., Istio, Linkerd): Εισάγουν κοντέινερ sidecar στα pods και διαχειρίζονται το δίκτυο traffic σε επίπεδο εφαρμογής. Επιτρέπουν την υλοποίηση πολιτικών ασφαλείας, συμπεριλαμβανομένων περιορισμών στην αλληλεπίδραση μεταξύ Namespace.

• Mutual TLS (mTLS): Κρυπτογραφεί και αυθεντικοποιεί όλο το traffic μεταξύ υπηρεσιών.
• Πολιτικές Εξουσιοδότησης: Καθορίζουν ποιες υπηρεσίες μπορούν να αλληλεπιδρούν μεταξύ τους βάσει ταυτότητας.

SecurityContextConstraints (SCC) συγκεκριμένα για Namespace στο OpenShift: Περιορίζουν τις δυνατότητες των pods σε συγκεκριμένα Namespace, επηρεάζοντας τις δυνατότητες δικτύου.

Αν χωριστός Cluster για διαφορετικές Ζώνες Ασφαλείας: Ο πιο αυστηρός τρόπος, αλλά και ο πιο δαπανηρός. Απομονώνει πλήρως τις εφαρμογές που λειτουργούν σε διαφορετικά clusters.

Κανόνες Firewall: Διαμόρφωση κανόνων σε επίπεδο υποδομής δικτύου (π.χ., AWS Security Groups, GCP Firewall Rules), που επιτρέπουν ή αποκλείουν την κυκλοφορία μεταξύ υποδικτύων όπου βρίσκονται οι Worker Nodes διαφορετικών Namespace.

Διαχωρισμός Δικτύου σε επίπεδο Hypervisor: Χρησιμοποιείται σε περιβάλλοντα εικονικών μηχανών, όπου κάθε Namespace ή ομάδα Namespace τοποθετείται σε ξεχωριστό υποδίκτυο με αντίστοιχους κανόνες δρομολόγησης και firewall.