在Kubernetes中使用Traefik根据源IP处理请求

52次阅读

问题描述

在使用Kubernetes集群中的Traefik作为反向代理来定位后台的服务/部署时，遇到了一个问题。他想根据源IP地址处理请求，以实现对内部和外部应用程序的区分访问权限。

具体来说，他在集群中部署了多个应用程序，一些是内部应用（如kibana或traefik-web-ui），一些是外部应用。他通过不同的DNS条目来区分它们，内部DNS不会从外部世界（如互联网）解析，而外部DNS可以（例如来自Google DNS）。

然而，他发现他可以通过在外部网络上的一台机器上创建通配符DNS条目，并将其解析为与外部DNS条目相同的IP地址，从而从外部访问内部服务。这是一个不可接受的状态，因此他正在寻找解决方案来解决这个问题。

解决方案

方案1：使用Kubernetes中的Service类型为NodePort

Kubernetes中的Service类型为NodePort允许你将服务公开到集群外部，并将流量导入集群内部的特定NodePort。你可以将Traefik绑定到NodePort上，以便处理外部请求。以下是解决方案的步骤：

创建一个Service，将它的类型设置为NodePort，并指定一个NodePort号码，例如30080和30443（可以根据实际需要进行调整）。
将Ingress中的TLS配置修改为使用上述的NodePort。

以下是一个示例的YAML配置，用于修改Traefik的Service和Ingress：

# 修改Service
kind: Service
apiVersion: v1
metadata:
  name: traefik-ingress-service
  namespace: kube-system
spec:
  selector:
    k8s-app: traefik-ingress-lb
  ports:
    - protocol: TCP
      port: 80
      targetPort: 80
      nodePort: 30080  # 修改为你的NodePort
    - protocol: TCP
      port: 443
      targetPort: 443
      nodePort: 30443  # 修改为你的NodePort
  externalIPs:
    - 10.2.3.1  # 修改为你的外部IP地址

# 修改Ingress TLS配置
...
tls:
  - hosts:
      - dashboard.internal.mycoolapp.com
    secretName: internal.mycoolapp.com.cert
...

方案2：使用Kube-Proxy的源IP模式

在Kubernetes中，Kube-Proxy负责将流量转发到正确的Pod。你可以使用源IP模式来维持原始请求的源IP地址。以下是解决方案的步骤：

修改Kube-Proxy的配置，将模式设置为“ipvs”，这将启用源IP模式。
在Ingress中使用whitelist-source-range注释，将内部应用程序的IP范围添加到白名单中，以确保只有特定IP范围的请求被转发。

以下是一个示例的Kube-Proxy配置和Ingress配置：

# 修改Kube-Proxy配置
apiVersion: kubeproxy.config.k8s.io/v1alpha1
kind: KubeProxyConfiguration
mode: ipvs  # 使用IPVS模式

# 修改Ingress配置
...
metadata:
  annotations:
    traefik.ingress.kubernetes.io/whitelist-source-range: "10.0.0.0/8"  # 添加白名单IP范围
...