问题描述
如果我在组织内部的同一网络中部署了 kubertenes 集群，并设置了防火墙规则和控制访问权限，那么加密 Pod 之间的通信的原因是什么？
我正在讨论实施 TLS Side car 模式，我真的想知道是否有必要，到目前为止唯一的论点是避免我组织内的恶意人员试图进行嗅探。
能帮我找出哪些是有效的业务场景吗？
解决方法
这是纵深防御战略的一部分。如果您的一个 Pod 遭到破坏，则通过读取流量来利用它会变得更加困难。它可能会被内部人员或外部攻击者攻破。
读取访问令牌可能用于重放攻击。
好吧，如果这是“必要的”，可能取决于您的要求。它可能不会立即为您带来商业利益。然而，“仅仅”读取数据已经可能构成严重的安全漏洞。
话虽如此，使用像 Istio 这样的服务网格，在服务之间实现双向 TLS 相对容易。
此外，Istio 提供了更多的安全功能，而不仅仅是加密 Pod 之间的通信。它还使用了身份的概念，并且可以在服务级别而不是 IP 地址（可能难以管理）指定授权规则。
除了安全优势之外，Istio 还可以提供其他功能，例如高级流量管理或可以将常见的横切关注点（例如指标、跟踪、CORS 策略、JWT 验证）移动到网格中的功能。
这些可能为应用程序开发人员和维护人员提供更多切实的好处（与安全性相比，安全性可能只有在受到威胁后才相关...）
,网络层永远不会被认为是值得信赖的。您如何知道连接到您的网络的计算机和手机上安装了什么？它可能是间谍软件嗅探网络流量。对于嗅探网络流量的间谍软件，它不需要安装在进行通信的计算机上，它可以（在一些常见的网络拓扑中）安装在连接到同一组织的 WiFi 上的手机上。