# deny-all-ingress.yaml — 모든 인바운드 차단
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: deny-all-ingress
  namespace: production
spec:
  podSelector: {}        # 네임스페이스의 모든 파드에 적용
  policyTypes:
    - Ingress            # from을 지정하지 않으면 모두 차단
---
# deny-all-egress.yaml — 모든 아웃바운드 차단
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: deny-all-egress
  namespace: production
spec:
  podSelector: {}
  policyTypes:
    - Egress             # to를 지정하지 않으면 모두 차단

kubectl apply -f deny-all-ingress.yaml -f deny-all-egress.yaml

# 통신 차단 확인
kubectl run test-pod --image=curlimages/curl -n production -- sleep 3600
kubectl exec -it test-pod -n production -- curl http://payment-service:8080 --max-time 5
# curl: (28) Connection timed out after 5001 milliseconds

# payment-netpol.yaml
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: payment-service-policy
  namespace: production
spec:
  podSelector:
    matchLabels:
      app: payment          # payment 파드에 적용
  policyTypes:
    - Ingress
    - Egress
  ingress:
    # 주문 서비스에서 오는 트래픽만 허용
    - from:
        - podSelector:
            matchLabels:
              app: order-service
      ports:
        - protocol: TCP
          port: 8080
    # 모니터링 에이전트도 허용 (메트릭 수집)
    - from:
        - namespaceSelector:
            matchLabels:
              kubernetes.io/metadata.name: monitoring
          podSelector:
            matchLabels:
              app: prometheus
      ports:
        - protocol: TCP
          port: 9090
  egress:
    # PostgreSQL DB에만 쿼리 허용
    - to:
        - podSelector:
            matchLabels:
              app: payment-db
      ports:
        - protocol: TCP
          port: 5432
    # DNS 조회는 항상 허용 (없으면 서비스 이름 조회 불가)
    - to:
        - namespaceSelector: {}
      ports:
        - protocol: UDP
          port: 53
        - protocol: TCP
          port: 53

kubectl apply -f payment-netpol.yaml

# 허용된 통신 확인 (order-service 파드에서)
kubectl exec -it order-pod -n production -- curl http://payment-service:8080/health
# {"status": "ok"}

# 차단된 통신 확인 (catalog-service 파드에서 — 정책에 없음)
kubectl exec -it catalog-pod -n production -- curl http://payment-service:8080 --max-time 5
# curl: (28) Connection timed out after 5001 milliseconds

# prod-namespace-isolation.yaml
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: prod-namespace-isolation
  namespace: production
spec:
  podSelector: {}    # production 전체 파드에 적용
  policyTypes:
    - Ingress
  ingress:
    # production 네임스페이스 내부 파드 간 통신만 허용
    - from:
        - namespaceSelector:
            matchLabels:
              kubernetes.io/metadata.name: production
    # 인그레스 컨트롤러에서 오는 외부 트래픽 허용
    - from:
        - namespaceSelector:
            matchLabels:
              kubernetes.io/metadata.name: ingress-nginx
          podSelector:
            matchLabels:
              app.kubernetes.io/name: ingress-nginx

# 네임스페이스 레이블 확인
kubectl get namespace --show-labels

# 개발 파드에서 프로덕션 서비스 접근 시도 (차단됨)
kubectl exec -it debug-pod -n development -- \
  curl http://payment-service.production.svc.cluster.local:8080 --max-time 5
# curl: (28) Connection timed out