Default deny. Trotzdem erreichbar.
Reproduziert im MauriSec-Übungsmodell: · 4 bestandene Gegenproben · 1 Min. Lesezeit.
Was wir überprüfen.
Eine zusätzliche Default-deny-Policy schließt einen bereits erlaubten Ingress-Pfad.
So lässt es sich nachbauen.
Im geschlossenen NetworkPolicy-Modell zuerst sandbox/debug → payments/api TCP8443 prüfen. Anschließend die breite Legacy-Freigabe durch eine auf Namespace UND Pod begrenzte Regel ersetzen.
probe sandbox/debug payments/api 8443policies.json: die breite legacy-api-Regel durch front-to-api ersetzenprobe edge/front payments/api 8443probe sandbox/debug payments/api 8443
Was der Lauf tatsächlich zeigt.
Die breite Legacy-Regel erlaubt den Zugriff trotz Default deny. Nach der Änderung bleibt edge/front erlaubt; Debug-Pod und falscher Edge-Pod scheitern.
Was damit noch nicht bewiesen ist.
Geprüft ist ausschließlich der ausgewählte Ingress-Pfad im Modell. Kein Test eines echten Clusters/CNI und keine vollständige Egress-, NAT-, hostNetwork- oder L7-Prüfung.