通过 remoteAddr
即可获取客户端 IP。
通过 remoteAddr
即可获取客户端 IP。
云厂商各自实现不同,比如腾讯云 [1]:
remoteAddr
即可。X-Forwarded-For
header 的第一跳获取。添加对应配置后通过 X-Forwarded-For
header 的第一跳获取。[2]
若配置 externalTrafficPolicy=Cluster
,Kubernetes 的 kube-proxy 类似于 NAT 服务,由于存在 SNAT(source network address translation),源 IP 可能会被改写为跳转节点的内部 IP。
因此,需要配置 externalTrafficPolicy=Local
避免路由转发,此时可以通过 remoteAddr
获取客户端 IP。
但是这也有缺点:
TCP_NODELAY
阶段直到超时。这种方式一般是私有化部署的 kubernetes 集群开放外部网络访问的方式。
以 ingress-nginx 为例,部署后,会在每个节点启动一个 nginx-controller(DaemonSet),外网流量通过 NodePort Service 进入到某个 nginx-controller 模块中。
若外部 LB 是四层反代,类似 [NodePort Service](#NodePort Service) 小节提到的,需要配置 nginx-controller 的 Service 为 externalTrafficPolicy=Local
避免 SNAT 改写 IP,然后服务通过 remoteAddr
获取客户端 IP(注意不是服务的 Service 而是 nginx-controller 的 Service)。此时不会存在裸 NodePort 部署的流量不均衡问题,因为流量到某个 nginx-controller 后,nginx 会转发给不同 node 上的 pod。
若外部 LB 是七层反代,首先开启该反代的 X-Forwarded-For
header,然后配置 nginx 转发 X-Forwarded-For
header,最后服务通过 X-Forwarded-For
header 的第一跳获取。
这种方式一般是公有云部署的 kubernetes 集群开放外部网络访问的方式。
此时负载均衡一般由 CLB 配置。
参考裸机部署的 [四层 LB](#四层 LB) 、 [七层 LB](#七层 LB) 和 kubernetes 部署的 [NodePort Service](#NodePort Service) 小节。
externalTrafficPolicy=Local
,并且保证路由正确,目标存在对应服务。服务通过 remoteAddr
获取第一跳客户端 IP; 省略 kube-proxy,不允许 kube-proxy 转发
X-Forwarded-For
第一跳获取客户端 IP。从省事的角度出发,推荐使用七层 CLB。