NetworkPolicy 기반의 Zero Trust 네트워크 격리로 클러스터 내 횡적 이동 차단

Context

기본 Kubernetes 네트워크 모델인 'All-to-All' 통신 구조로 인한 보안 취약점 노출. 특정 Pod 침해 시 클러스터 내 모든 서비스로의 무분별한 접근이 가능한 구조적 한계 존재.

Technical Solution

• Label Selector 기반의 마이크로 세그멘테이션을 통한 Pod 간 통신 정밀 제어
• Ingress 설정을 통한 특정 Label 보유 Pod만 허용하는 화이트리스트 기반 유입 트래픽 통제
• Egress 설정을 통한 외부 및 내부 서비스 접근 경로 제한으로 침해 사고 시 Blast Radius 최소화
• L4 계층의 Protocol 및 Port 지정 제어를 통한 서비스별 필수 통신 경로 최적화
• CNI(Calico, Cilium 등) 플러그인 연동을 통한 NetworkPolicy 리소스의 실제 데이터 플레인 강제 적용
• DNS Resolution 유지를 위한 kube-system 네임스페이스 대상 UDP/TCP 53 포트 예외 허용 설계