网络规则

使用 ‘+’ 添加规则，可以在右侧列中的另一个规则下方，或使用右下角的按钮。

在 Kubernetes 集群中，应用程序可以通过 NodePort、LoadBalancer 或 Ingress 服务暴露到集群外部。这些服务通常在对数据包进行源 NAT（SNAT）时替换源 IP。由于原始源 IP 被伪装，这会阻止 SUSE® Security 识别连接实际上来自 "外部"。

为了保留原始源IP地址，用户需要在外部负载均衡器或Ingress控制器的 'spec' 部分中，将以下行添加到暴露的服务。（参考： https://kubernetes.io/docs/tutorials/services/source-ip/)）

许多 LoadBalancer 服务和 Ingress 控制器的实现会将 X-FORWARDED-FOR 行添加到 HTTP 请求头中，以将真实源 IP 传达给后端应用程序。该产品可以识别这一组 HTTP 头，识别原始源 IP 并根据该 IP 强制执行策略。

这一改进在某些设置中产生了一些意想不到的问题。如果上述行已添加到暴露的服务中，并且 SUSE® Security 网络策略以期望网络连接来自内部代理/Ingress 服务的方式创建，因为我们现在识别连接来自集群的 “外部”，正常的应用流量可能会触发警报或被阻止，如果应用程序处于 “保护” 模式。

可以使用开关来禁用此功能。禁用它会告诉 SUSE® Security 不要使用 X-FORWARDED-FOR 头识别连接来自 “外部”。默认情况下，此功能是启用的，并且在策略强制执行中使用 X-FORWARDED-FOR 头部。要禁用它，请转到“设置” → “配置”，并禁用“基于 X-Forwarded-For 的策略匹配”设置。

在版本 5.1.0 中，为通过 Istio 声明的 ServiceEntry 目标的 Pod 添加了出站网络策略强制执行功能。通常，ServiceEntry 定义了如何将通过 DNS 名称引用的外部服务解析为目标 IP。在 v5.1 之前，SUSE® Security 无法检测和强制执行对 ServiceEntry 的连接规则，因此所有连接都被归类为外部。在 5.1 中，可以对特定的 ServiceEntry 目标强制执行规则。如果不存在允许规则，将报告隐式违规的新可见流量。这些规则可以在发现模式下学习和自动创建。要允许此流量，您可以将组置于发现模式，或创建一个包含目标地址（或 DNS 名称）的自定义组，并为该目标添加新的网络规则以允许流量。

自定义组可以支持基于虚拟主机的地址组。这使得一个用例成为可能，其中两个不同的 FQDN 地址解析为同一个 IP 地址，但每个 FQDN 应该执行不同的规则。可以使用 ‘address=vh:xxx.yyy’ 指示符创建一个新的自定义组 ‘vh:’ 以启用此保护。然后，网络规则可以根据虚拟主机名（而不是解析的 IP 地址）使用自定义组作为 ‘From’ 源，以对虚拟主机执行不同的规则。