谷歌云详解GKE ClusterNetworkPolicy三层机制，演示LLM推理工作负载隔离

谷歌云发文介绍在Google Kubernetes Engine（GKE）中试用ClusterNetworkPolicy（CNP）的情况。据谷歌云称，标准Network Policy只能在命名空间级别应用策略，而CNP可对整个集群实施细粒度网络策略，便于扩展安全与治理策略。CNP采用三层优先级匹配：管理员层优先级最高，由集群管理员强制执行不可绕过的强制安全规则，例如阻断元数据访问；网络策略层居中，由应用团队管理命名空间级入站与出站规则；基线层优先级最低，由集群管理员设定跨命名空间的默认拒绝等兜底策略。文章以Codelab实验为例，目标是将流量限制在LLM命名空间、仅允许授权客户端访问，并阻止集群范围访问元数据API（DNS 53端口除外）。实验使用自定义VPC与Cloud NAT、运行GKE Dataplane V2的GKE Standard集群、2x2拓扑的…