问题描述
在使用Kubernetes集群中的Traefik作为反向代理来定位后台的服务/部署时，遇到了一个问题。他想根据源IP地址处理请求，以实现对内部和外部应用程序的区分访问权限。
具体来说，他在集群中部署了多个应用程序，一些是内部应用（如kibana或traefik-web-ui），一些是外部应用。他通过不同的DNS条目来区分它们，内部DNS不会从外部世界（如互联网）解析，而外部DNS可以（例如来自Google DNS）。
然而，他发现他可以通过在外部网络上的一台机器上创建通配符DNS条目，并将其解析为与外部DNS条目相同的IP地址，从而从外部访问内部服务。这是一个不可接受的状态，因此他正在寻找解决方案来解决这个问题。
解决方案
方案1：使用Kubernetes中的Service类型为NodePort
Kubernetes中的Service类型为NodePort允许你将服务公开到集群外部，并将流量导入集群内部的特定NodePort。你可以将Traefik绑定到NodePort上，以便处理外部请求。以下是解决方案的步骤：
- 创建一个Service，将它的类型设置为NodePort，并指定一个NodePort号码，例如30080和30443（可以根据实际需要进行调整）。
- 将Ingress中的TLS配置修改为使用上述的NodePort。
以下是一个示例的YAML配置，用于修改Traefik的Service和Ingress：
# 修改Service
kind: Service
apiVersion: v1
metadata:
name: traefik-ingress-service
namespace: kube-system
spec:
selector:
k8s-app: traefik-ingress-lb
ports:
- protocol: TCP
port: 80
targetPort: 80
nodePort: 30080 # 修改为你的NodePort
- protocol: TCP
port: 443
targetPort: 443
nodePort: 30443 # 修改为你的NodePort
externalIPs:
- 10.2.3.1 # 修改为你的外部IP地址
# 修改Ingress TLS配置
...
tls:
- hosts:
- dashboard.internal.mycoolapp.com
secretName: internal.mycoolapp.com.cert
...
方案2：使用Kube-Proxy的源IP模式
在Kubernetes中，Kube-Proxy负责将流量转发到正确的Pod。你可以使用源IP模式来维持原始请求的源IP地址。以下是解决方案的步骤：
- 修改Kube-Proxy的配置，将模式设置为“ipvs”，这将启用源IP模式。
- 在Ingress中使用
whitelist-source-range注释，将内部应用程序的IP范围添加到白名单中，以确保只有特定IP范围的请求被转发。
以下是一个示例的Kube-Proxy配置和Ingress配置：
# 修改Kube-Proxy配置
apiVersion: kubeproxy.config.k8s.io/v1alpha1
kind: KubeProxyConfiguration
mode: ipvs # 使用IPVS模式
# 修改Ingress配置
...
metadata:
annotations:
traefik.ingress.kubernetes.io/whitelist-source-range: "10.0.0.0/8" # 添加白名单IP范围
...
请注意：修改Kube-Proxy的配置可能会影响整个集群的网络行为，请在进行修改前做好备份和测试。
方案3：使用Nginx作为前端代理
另一种方法是使用Nginx作为前端代理，通过hostname将流量转发到相应的Traefik服务或NodePort服务。这需要在外部部署Nginx并配置代理规则。以下是解决方案的步骤：
- 部署Nginx并配置反向代理规则，将流量根据hostname转发到Traefik服务或NodePort服务。
- 在Nginx中设置TLS证书，以便处理安全连接。
这种方法允许你在Nginx中维护精细的流量控制和访问控制。
总结
针对在Kubernetes中使用Traefik根据源IP处理请求的问题，你有几种解决方案可选。你可以根据实际需求和环境选择适合你的方法。无论哪种方法，都需要根据实际情况进行适当的测试和验证。希望这些解决方案能够帮助你解决问题。