云网分析如何帮助企业实现更好的网络隔离

1. 使用VPC（专有网络）：

VPC是私有网络环境，通过底层网络协议严格地将网络包隔离，在网络2层完成访问控制。

企业可以通过VPN或者专线，将自建IDC的服务器资源接入阿里云，并使用VPC自定义的RDS IP段来解决IP资源冲突的问题，实现自有服务器和阿里云ECS同时访问RDS的目的。

使用VPC和IP白名单将极大程度提升RDS实例的安全性。

2. 基于k8s实现的容器隔离：

Kubernetes提供了NetworkPolicy和istio中的AuthorizationPolicy，两者都支持按Namespace级别的网络隔离，达到访问外部资源隔离的目的。

NetworkPolicy还支持按pod级别去做网络访问控制，利用label指定namespaces或pod，底层通过iptables实现。

但NetworkPolicy存在性能差、适用性差、细粒度不够、易用性差、灵活性差等缺点，只适用于部分场景对小规模的pod进行网络隔离，不能作为一个成熟的网络隔离技术在安全产品中使用。

3. 容器代理实现的隔离方法：

可以在云集群中的每一个节点上部署一个代理容器，将被代理容器或者pod与宿主机通信的veth pair进行重组，通过代理容器的veth pair连接两侧。

这种方式解决了NetworkPolicy存在的缺点，性能影响小、适用性广、细粒度更高、灵活性高。

4. 理想的容器网络隔离技术特点：

性能影响小，实现容器网络防护的尽量不影响集群性能和业务容器的正常运行。

适用性广，不局限于某一种场景。

细粒度高，支持容器为新的最小控制单元，并且能做到7层网络防护。

具备安全策略能力，基于云原生场景下“东西向”和“南北向”流量的可视化，隔离技术需要实现策略的自动生成更新。

灵活性高，针对云原生场景下灵活弹性扩展需求高的特点，隔离技术需要做到安全策略和能力快速匹配，实现快速部署以及弹性伸缩。