cnat: Add calico/k8s src policy