Эта политика применяется к подам с лейблом app: backend и разрешает входящий трафик на порт 8080 только от подов с лейблом app: frontend в рамках того же неймспейса.

Если вам нужно разрешить доступ из подов, находящихся в другом неймспейсе (например, сбор метрик Прометеусом), мы комбинируем селекторы:

ingress:
- from:
  - namespaceSelector:
      matchLabels:
        kubernetes.io/metadata.name: monitoring
    podSelector:
      matchLabels:
        app: prometheus

Обратите внимание на синтаксис: когда podSelector и namespaceSelector находятся внутри одного элемента списка (как выше), они работают по логике И (под с лейблом prometheus *внутри* неймспейса monitoring). Если бы они начинались с разных дефисов (`-`) - это была бы логика ИЛИ.

Практический план внедрения в продакшен
1. Проверить CNI: убедитесь, что ваш сетевой плагин (Calico, Cilium, Antrea) физически умеет обрабатывать NetworkPolicy.
2. Начните с тестового контура: не раскатывайте default-deny-all сразу на весь продакшен кластер. Выберите один некритичный неймспейс.
3. Включите логирование (если позволяет CNI): Cilium и Calico умеют логировать отброшенные пакеты (dropped packets). Это поможет увидеть, какой легитимный трафик вы случайно заблокировали.
4. Внедрите deny-all и DNS: изолируйте неймспейс и сразу дайте доступ к порту 53 CoreDNS.
5. Опишите явные взаимосвязи: переведите архитектуру приложения в YAML-манифесты политик.
6. Протестируйте доступность: используйте kubectl exec для финальной проверки:

kubectl exec -it <pod-frontend> -n production -- curl http://backend:8080

Важные правила на заметку:
🔹 Если к поду применяется несколько NetworkPolicy, разрешённым считается объединение (*Union*) всех правил. Вы не можете одной политикой «перекрыть» или запретить то, что уже разрешено другой.
🔹 Если вы включили default-deny-all для всего неймспейса, то для успешного соединения под-источник должен иметь разрешение на egress (исходящий трафик), а под-получатель - на ingress (входящий трафик).
🔹 Обратите внимание, это справедливо в рамках одного namespace. Если у вас открыт доступ в соседний неймспейс, а там нет сетевых политик, то доступ будет разрешён.
🔹 Для удобства запоминания: внутри kubernetes доступ чаще всего открывается парно egress/ingress, а вот наружу открывается только egress правило.


Чтобы освоить сетевую безопасность в Kubernetes на практике, включая тонкости работы с CNI, Network Policies, Service Mesh и концепцией Zero-Trust, 🔥открывай демодоступы бесплатно🔥 и прокачивай навыки:
* Kubernetes Admin - администрирование кластера, сеть, безопасность, политики.
* Networks Basics - основы сетей, CNI, маршрутизация трафика внутри K8s.
* Container Security - безопасность контейнеризации, изоляция сред, политики доступа.

Чек-лист для бесшовного релоада в продакшене
✅ Всегда валидируйте конфиг через nginx -t перед отправкой сигнала.
✅ Не рестартуйте контейнеры, если изменился только nginx.conf — используйте docker kill -s HUP.
✅ Настройте мониторинг процессов: после релоада количество старых воркеров (в статусе *is shutting down*) должно постепенно снижаться до нуля. Проверить состояние процессов можно командой ps ax | grep nginx.
✅ Закладывайте время жизни соединений в worker_shutdown_timeout в зависимости от специфики вашего трафика.

Чтобы глубже разобраться в архитектуре веб-серверов, настроить отказоустойчивую балансировку, кэширование и работу с SSL/TLS без даунтайма, 🔥попробуйте бесплатно на демодоступе🔥

🔹Nginx - производительность, архитектура процессов, релоады и тюнинг под высокие нагрузки.
🔹Docker - сигналы процессов, управление контейнерами, PID 1 и лучшие практики.
🔹Bash - автоматизация рутины, написание безопасных скриптов деплоя и обработка ошибок.

🔧 Дайджест правок июля

Привет, на связи команда Rebrain! 👋
За месяц закрыли 232 задачи: исправляли материалы и автопроверки, разбирали обратную связь студентов и менторов.
Больше всего работы пришлось на Ceph, DevOps, Linux, Kubernetes и RabbitMQ.

1️⃣ Ceph
Разобрали серию расхождений между условиями заданий, окружениями и автопроверками. Уточнили требования к именам файлов, IQN и ACL для iSCSI, CRUSH-правилам, настройкам Prometheus и Grafana. Исправили команду получения публичного ключа Ceph.
Отдельно поправили проверки, которые ожидали конкретные названия или содержимое файлов, хотя в заданиях это не было указано. Разобрались с проблемами из-за разных версий Ceph на узлах и уже развёрнутых кластеров. Учли обратную связь о необходимости обновить версию курса.

2️⃣ DevOps
Поправили автопроверки, привязанные к устаревшей инфраструктуре или одному конкретному варианту решения. Также разобрали проблемы с GitLab-токеном и повторяющимися проверками. Уточнили формулировки про git rebase, Terraform-модули и финальное задание по Terragrunt, где было неясно, сколько окружений и проектов нужно создать.

3️⃣ Kafka Admin
По итогам бета-теста доработали урок по настройке Kafka в режиме KRaft. Синхронизировали теорию и практику: уточнили параметры, которые должны различаться на нодах, добавили пропущенные проверки кластера и исправили несовпадение имени каталога после распаковки Kafka.

4️⃣ Gateway API
Уточнили проверку сервиса через внешний IP, исправили названия ресурсов и расхождение между gateway-system и фактическим envoy-gateway-system.

5️⃣ Kubernetes для Yandex Cloud
Починили команду добавления ключа Helm, ссылку на Metrics Server, порядок модулей и пример с helm template.

6️⃣ Kubernetes Admin
Обновили ссылки и разобрали замечания по ресурсам кластера, ingress и порядку обновления control plane и worker-узлов.

7️⃣ Linux Basics
Поправили опечатки, противоречия в командах и некорректные параметры find. Уточнили инструкции по SSH, установке операционной системы и созданию пользователей. Смягчили проверки, которые принимали только один способ выполнения задания, хотя корректных вариантов было несколько.

8️⃣ Linux: анализ производительности и тюнинг
Исправили ошибки в скриптах и обновили устаревшие названия показателей. Уточнили материалы про tcp_tw_reuse, ionice, cgroups, systemd и файлы в /etc/sysctl.d/. Поправили задания, где автопроверка ожидала конкретный файл или службу без явного требования в условии.

9️⃣ RabbitMQ
Исправили содержательную ошибку в примере маршрутизации: сообщения с ключами вида logs.auth.error не соответствовали указанному binding *.error.#. Уточнили роли брокера и потребителя при подтверждении доставки и поправили проверку, которая искала exchange с другим именем.

🔟 Bind
Cмягчили проверки, зависевшие от пробелов, переносов строк, комментариев и конкретных названий объектов. Расширили пояснения по TSIG, конфигурационным файлам и split-horizon DNS. Также починили отображение Mermaid-схемы.

1️⃣1️⃣ Grafana
Поправили проверки, чувствительные к пробелам и точному виду JSON, обновили параметры API и уточнили задания по Data Links, Loki и переменным дашбордов. Исправили расхождения в названиях панелей и папок.


1️⃣2️⃣ HAProxy
Доработали проверку sticky-сессий с nocache, права доступа экспортера к сокету и пример модификации HTTP-запросов, где в условии и выводе использовались разные пути.

1️⃣3️⃣ Terraform
Разобрали проблемы с квотами Yandex Cloud, расположением outputs и неочевидной необходимостью выполнить terraform plan после принудительного пересоздания ресурса.

Спасибо за вашу обратную связь💗мы ее читаем и внедряем изменения🤝

🗓️ Расписание вебинаров на сегодня

⏰ 20:00 МСК - Как я уронил prod в пятницу вечером, и что мне за это было (Postmortem)
🔗 Регистрация и программа

О вебинаре напомним за 5 минут до начала на этом канале.
Также вы сможете зайти через личный кабинет.

🔥 Задать вопросы и обсудить детали можно в нашем чате

🔥 Июльские модули уже на платформе!

Материалы залиты на платформу, инфра настроена, менторы готовы отвечать на вопросы.
Не откладывайте обучение - заходите в личный кабинет и начинайте проходить курсы:

🤖 Интенсив AI Agents 👉 О практикуме
Первые вебинары уже прошли, но еще можно присоединиться, если кто-то был в отпуске или никак не решался.

🔐 Keycloak + тренажеры 👉 О практикуме
Разворачиваем SSO, настраиваем управление идентификацией и разграничение доступа в enterprise-инфраструктуре на реальных серверах.

⚡ Linux Performance & HighLoad Fundamentals + тренажеры 👉 О практикуме
Учимся находить узкие места системы, оптимизировать ядро, дисковую подсистему и готовить инфраструктуру к высоким нагрузкам.

💻 Bash + тренажеры 👉 О практикуме
Автоматизация повседневных задач инженера: от чистых скриптов до сложной обработки логов и работы с API напрямую из консоли. Всем, у кого ранее был куплен bash, вам по почте напишет поддержка с инструкцией как 🔥бесплатно🔥 обновить практикум до новой версии.

🛠️ Управление инфраструктурой и рабочими станциями 👉 О практикуме
Централизованное управление, автоматическое конфигурирование и масштабирование парка серверов и рабочих мест.

💡 Всё ещё сомневаетесь и не знаете, подойдет ли вам формат?
Мы понимаем, что перед стартом хочется «потрогать» всё руками. Уже в августе на платформе появятся бесплатные демодоступы к этим модулям. Вы сможете лично протестировать боевую инфраструктуру, оценить формат «меньше теории - больше консоли» и решить первые задачи абсолютно бесплатно.

Следите за анонсами, а тем, кто уже с нами - продуктивной практики и до встречи на платформе! 🚀

❗Начало Открытого практикума Как я уронил prod в пятницу вечером, и что мне за это было (Postmortem) уже через 5 минут

Встречаемся в 20:00 МСК.

Ссылка для входа: https://my.rebrainme.com/live-class/510

Также вы можете подключиться к вебинару через личный кабинет, в разделе «Вебинары».

🔥 Задать вопрос по практикуму и обсудить детали можно в нашем чате

❗ Открытый практикум Как я уронил prod в пятницу вечером, и что мне за это было (Postmortem) идёт уже 30 минут

Если вы ещё не с нами, скорее подключайтесь!

Ссылка для входа: https://my.rebrainme.com/live-class/510

🔥 Задать вопрос по практикуму и обсудить детали можно в нашем чате