Как обеспечивается безопасность сетевых подключений в инфраструктуре?

А, ну это про безопасность! Слушай, тут всё как с хорошей квартирой — если дверь нараспашку и соседи все ходят, то рано или поздно всё ценное на хуй утащат. Так что я строю защиту слоями, как матрёшку, только наоборот — чем глубже, тем строже.

1. Шифрование всего, что шевелится (in transit):

• Снаружи: Весь трафик, который с улицы идёт, — только по HTTPS. TLS 1.2/1.3, ёпта. Сертификаты беру от Let's Encrypt, чтобы бесплатно, и они у меня сами обновляются через cert-manager в кубере. Чисто автоматика, чтоб не охуеть в один прекрасный день от просроченного серта. Вот так это в Ingress для Nginx выглядит:

  apiVersion: networking.k8s.io/v1
  kind: Ingress
  metadata:
  name: app-ingress
  annotations:
  cert-manager.io/cluster-issuer: "letsencrypt-prod"
  spec:
  tls:
  - hosts:
  - app.example.com
  secretName: app-tls-secret
  rules:
  - host: app.example.com
  http:
    paths:
    - path: /
      pathType: Prefix
      backend:
        service:
          name: app-service
          port:
            number: 80

• Внутри кластера: А внутри, между своими сервисами, тоже не доверяю никому. Ставлю service mesh (типа Istio или Linkerd), чтобы всё шифровалось по mTLS. Чтоб один сервис другому мог доказать, что он не левый мудак, а свой в доску.

2. Разделяй и властвуй, или Сегментация:

• Периметр: Первым делом — облачные Security Groups. Закрываю нахуй все порты для управления типа SSH или K8s API от всего интернета. Открываю только с доверенных IP, типа офиса или VPN. Элементарно, но сколько уёбков на этом пролетает — овердохуища.
• Внутри кубера: Тут включаю паранойю на полную. Использую NetworkPolicies по принципу "запрещено всё, что не разрешено явно". Например, чтобы к базе данных мог стучаться только бэкенд, а фронтенд или какая-нибудь мартышлюшка — ни-ни.

  apiVersion: networking.k8s.io/v1
  kind: NetworkPolicy
  metadata:
  name: backend-to-db
  spec:
  podSelector:
  matchLabels:
    app: postgres
  policyTypes:
  - Ingress
  ingress:
  - from:
  - podSelector:
      matchLabels:
        app: backend-api
  ports:
  - protocol: TCP
    port: 5432

• Private Clusters: И вообще, лучшая защита — быть невидимкой. Поднимаю managed-кластеры (GKE Private, EKS Private) так, чтобы у рабочих нод не было вообще публичных IP. Доступ только из своей приватной сети через VPN или через один-единственный bastion-хост. Пусть хакеры ебутся, как найдут эту хуйню.

3. Отбиваемся от толпы (DDoS) и умников (WAF):

• От тупого брутфорса, когда тебе просто заливают канал мусором, спасают облачные щиты — AWS Shield или Cloudflare. Они на уровне сети отфильтруют этот пиздец, чтобы твои сервера не накрылись медным тазом.
• А от умных атак, которые пытаются пролезть через дыры в твоём коде (типа SQL-инъекций или XSS), ставлю Web Application Firewall. Либо родной AWS WAF, либо настраиваю ModSecurity прямо в Nginx. Чтоб любая хитрая жопа, которая попробует вставить ' OR 1=1-- в форму, получила быстрый и жёсткий отлуп. Без этого сейчас — просто пизда рулю, чувак.