Terraform Kubernetes Provider 网络策略端口范围支持解析

在Kubernetes 1.25版本中，网络策略(NetworkPolicy)新增了对端口范围的支持，允许管理员通过endPort字段指定连续的端口范围。这一功能显著提升了网络策略配置的灵活性，特别是在需要开放大量连续端口时，不再需要逐个声明每个端口。

功能背景

传统Kubernetes网络策略中，管理员只能为每个端口单独定义规则。当需要开放多个连续端口时，必须重复编写相似的规则，这不仅增加了配置复杂度，也降低了可读性。1.25版本引入的endPort字段解决了这一问题，允许通过指定起始端口和结束端口来定义端口范围。

Terraform实现现状

当前版本的Terraform Kubernetes Provider尚未支持这一功能。在资源定义kubernetes_network_policy中，ports块仅支持port和protocol两个字段，缺少对endPort的支持。

技术实现分析

要实现这一功能，需要在kubernetes_network_policy资源的Schema定义中添加endPort字段。该字段应为可选整数类型，与port字段配合使用。当指定endPort时，表示从port到endPort的连续端口范围；不指定时则保持原有单端口行为。

配置示例

resource "kubernetes_network_policy" "example" {
  metadata {
    name      = "range-port-policy"
    namespace = "default"
  }

  spec {
    pod_selector {
      match_labels = {
        app = "web"
      }
    }

    ingress {
      ports {
        port     = 8000
        endPort  = 8010  # 允许8000-8010共11个端口
        protocol = "TCP"
      }
    }
    policy_types = ["Ingress"]
  }
}

兼容性考虑

由于endPort是Kubernetes 1.25引入的功能，在实现时需要考虑向后兼容性。当在低于1.25版本的集群上使用该功能时，Terraform应提供明确的错误提示，而不是静默失败。

最佳实践建议

1. 优先使用命名端口而非数字端口，提高配置可读性
2. 端口范围不宜过大，应遵循最小权限原则
3. 在跨版本环境中使用时，明确标注所需的Kubernetes版本
4. 结合命名空间选择器使用，限制端口范围的访问来源

这一功能的实现将大大简化需要开放多个连续端口的场景配置，如日志收集、监控数据上报等常见用例，是Terraform Kubernetes Provider功能完善的重要一步。