[출발 파드]  order → payment:8080 로 패킷 전송
   │
   ① CNI가 정책을 강제하는가?         (Calico·Cilium 등 정책 지원 CNI인지 — Flannel이면 판정 자체가 없음)
   │    → 미지원이면 정책과 무관하게 그냥 통과
   │
   ② 목적지 파드를 선택하는 Ingress 정책이 있는가?
   │    → 하나도 없음 → 그 파드는 격리 안 됨 → 인바운드 전부 허용 (all-allow)
   │    → 하나라도 있음 → 그 파드는 격리됨 → 아래 규칙에 맞는 것만 허용
   │
   ③ 그 파드를 선택하는 정책들의 ingress.from 규칙을 모두 합침(OR)
   │    (여러 NetworkPolicy는 합집합 — 어느 하나라도 허용하면 통과)
   │
   ④ 출발지가 from에 매칭되는가?       (podSelector·namespaceSelector·ipBlock + ports 대조)
   │    → 매칭 → 허용,  비매칭 → 차단(패킷 드롭)
   │
   ⑤ (출발 파드 쪽) egress 정책도 대칭으로 판정
   │    → order를 선택하는 egress 정책이 있으면 payment:8080·DNS(53)가 to에 있어야 나감
   ▼
[도착/차단]  허용이면 응답, 차단이면 응답이 없어 curl은 timeout

# deny-all-ingress.yaml — 모든 인바운드 차단
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: deny-all-ingress
  namespace: production
spec:
  podSelector: {}        # 네임스페이스의 모든 파드에 적용
  policyTypes:
    - Ingress            # from을 지정하지 않으면 모두 차단
---
# deny-all-egress.yaml — 모든 아웃바운드 차단
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: deny-all-egress
  namespace: production
spec:
  podSelector: {}
  policyTypes:
    - Egress             # to를 지정하지 않으면 모두 차단

kubectl apply -f deny-all-ingress.yaml -f deny-all-egress.yaml

# 통신 차단 확인
kubectl run test-pod --image=curlimages/curl -n production -- sleep 3600
kubectl exec -it test-pod -n production -- curl http://payment-service:8080 --max-time 5
# curl: (28) Connection timed out after 5001 milliseconds

# payment-netpol.yaml
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: payment-service-policy
  namespace: production
spec:
  podSelector:
    matchLabels:
      app: payment          # payment 파드에 적용
  policyTypes:
    - Ingress
    - Egress
  ingress:
    # 주문 서비스에서 오는 트래픽만 허용
    - from:
        - podSelector:
            matchLabels:
              app: order-service
      ports:
        - protocol: TCP
          port: 8080
    # 모니터링 에이전트도 허용 (메트릭 수집)
    - from:
        - namespaceSelector:
            matchLabels:
              kubernetes.io/metadata.name: monitoring
          podSelector:
            matchLabels:
              app: prometheus
      ports:
        - protocol: TCP
          port: 9090
  egress:
    # PostgreSQL DB에만 쿼리 허용
    - to:
        - podSelector:
            matchLabels:
              app: payment-db
      ports:
        - protocol: TCP
          port: 5432
    # DNS 조회는 항상 허용 (없으면 서비스 이름 조회 불가)
    - to:
        - namespaceSelector: {}
      ports:
        - protocol: UDP
          port: 53
        - protocol: TCP
          port: 53

kubectl apply -f payment-netpol.yaml

# 허용된 통신 확인 (order-service 파드에서)
kubectl exec -it order-pod -n production -- curl http://payment-service:8080/health
# {"status": "ok"}

# 차단된 통신 확인 (catalog-service 파드에서 — 정책에 없음)
kubectl exec -it catalog-pod -n production -- curl http://payment-service:8080 --max-time 5
# curl: (28) Connection timed out after 5001 milliseconds

# prod-namespace-isolation.yaml
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: prod-namespace-isolation
  namespace: production
spec:
  podSelector: {}    # production 전체 파드에 적용
  policyTypes:
    - Ingress
  ingress:
    # production 네임스페이스 내부 파드 간 통신만 허용
    - from:
        - namespaceSelector:
            matchLabels:
              kubernetes.io/metadata.name: production
    # 인그레스 컨트롤러에서 오는 외부 트래픽 허용
    - from:
        - namespaceSelector:
            matchLabels:
              kubernetes.io/metadata.name: ingress-nginx
          podSelector:
            matchLabels:
              app.kubernetes.io/name: ingress-nginx

# 네임스페이스 레이블 확인
kubectl get namespace --show-labels

# 개발 파드에서 프로덕션 서비스 접근 시도 (차단됨)
kubectl exec -it debug-pod -n development -- \
  curl http://payment-service.production.svc.cluster.local:8080 --max-time 5
# curl: (28) Connection timed out