Higress网关实现真实IP获取与IP白名单配置实践
背景介绍
在云原生微服务架构中,API网关作为流量入口,其安全防护能力尤为重要。阿里云开源的Higress作为新一代云原生网关,提供了丰富的安全插件,其中IP限制功能是基础且重要的安全防护手段。但在实际使用过程中,由于网络架构的复杂性,网关往往无法直接获取客户端的真实IP地址,导致IP白名单功能失效。
问题现象
用户在使用Higress网关的IP限制插件时,发现配置的白名单IP无法生效。经排查发现,网关日志中记录的客户端IP实际上是Kubernetes节点内网IP,而非真实的客户端公网IP。这种情况通常发生在网关前端部署了负载均衡器(如阿里云CLB)的场景下。
技术原理分析
在典型的云环境架构中,客户端请求通常需要经过以下路径:
- 客户端 → 2. 云负载均衡(CLB) → 3. Kubernetes节点 → 4. Higress网关
默认情况下,当请求经过负载均衡器转发后,后端服务只能看到负载均衡器的IP地址。要获取原始客户端IP,需要以下两个关键配置:
-
负载均衡器开启Proxy Protocol:Proxy Protocol是HAProxy开发的一种协议,它能够在TCP连接建立时,在数据流前插入客户端的原始IP和端口信息。
-
网关启用Proxy Protocol支持:Higress网关需要明确配置以识别和解析Proxy Protocol信息,才能正确提取客户端真实IP。
完整解决方案
第一步:配置负载均衡器
在阿里云CLB控制台中:
- 找到对应的80和443监听端口配置
- 开启"获取真实客户端IP"功能
- 同时启用Proxy Protocol协议支持
第二步:配置Higress网关
在Higress控制台或通过YAML配置:
- 进入网关全局配置
- 启用Proxy Protocol支持
- 确保配置已正确应用到所有网关实例
第三步:配置IP白名单插件
使用Higress的WasmPlugin资源配置IP限制规则:
apiVersion: extensions.higress.io/v1alpha1
kind: WasmPlugin
metadata:
name: ip-restriction
spec:
matchRules:
- config:
allow:
- 202.128.128.0/24
ip_source_type: origin-source
ingress:
- your-ingress-name
url: oci://higress-registry.cn-hangzhou.cr.aliyuncs.com/plugins/ip-restriction:1.0.0
关键参数说明:
allow
: 指定允许访问的IP段ip_source_type
: 设置为"origin-source"表示使用原始客户端IPingress
: 指定应用此规则的路由名称
验证与测试
配置完成后,可通过以下方式验证:
- 从白名单IP范围发起请求,应能正常访问
- 从非白名单IP范围发起请求,应收到403禁止访问响应
- 检查Higress网关日志,确认记录的客户端IP与预期一致
最佳实践建议
-
多层防护:除了网关层的IP白名单,建议在负载均衡层也配置访问控制,实现纵深防御。
-
日志监控:定期检查网关日志,确保IP识别机制持续有效。
-
灰度发布:对于生产环境,建议先在小范围路由上测试IP限制功能,确认无误后再全量应用。
-
动态更新:对于频繁变更的IP白名单,可以考虑通过API动态更新配置,而无需重启网关。
总结
通过正确配置Proxy Protocol和Higress网关,可以确保在复杂网络架构中准确获取客户端真实IP,使IP白名单等安全功能发挥应有作用。这一方案不仅适用于阿里云环境,对于其他云平台或自建Kubernetes集群中的Higress部署同样具有参考价值。
- DDeepSeek-V3.1-BaseDeepSeek-V3.1 是一款支持思考模式与非思考模式的混合模型Python00
- QQwen-Image-Edit基于200亿参数Qwen-Image构建,Qwen-Image-Edit实现精准文本渲染与图像编辑,融合语义与外观控制能力Jinja00
GitCode-文心大模型-智源研究院AI应用开发大赛
GitCode&文心大模型&智源研究院强强联合,发起的AI应用开发大赛;总奖池8W,单人最高可得价值3W奖励。快来参加吧~044CommonUtilLibrary
快速开发工具类收集,史上最全的开发工具类,欢迎Follow、Fork、StarJava04GitCode百大开源项目
GitCode百大计划旨在表彰GitCode平台上积极推动项目社区化,拥有广泛影响力的G-Star项目,入选项目不仅代表了GitCode开源生态的蓬勃发展,也反映了当下开源行业的发展趋势。06GOT-OCR-2.0-hf
阶跃星辰StepFun推出的GOT-OCR-2.0-hf是一款强大的多语言OCR开源模型,支持从普通文档到复杂场景的文字识别。它能精准处理表格、图表、数学公式、几何图形甚至乐谱等特殊内容,输出结果可通过第三方工具渲染成多种格式。模型支持1024×1024高分辨率输入,具备多页批量处理、动态分块识别和交互式区域选择等创新功能,用户可通过坐标或颜色指定识别区域。基于Apache 2.0协议开源,提供Hugging Face演示和完整代码,适用于学术研究到工业应用的广泛场景,为OCR领域带来突破性解决方案。00openHiTLS
旨在打造算法先进、性能卓越、高效敏捷、安全可靠的密码套件,通过轻量级、可剪裁的软件技术架构满足各行业不同场景的多样化要求,让密码技术应用更简单,同时探索后量子等先进算法创新实践,构建密码前沿技术底座!C0301- WWan2.2-S2V-14B【Wan2.2 全新发布|更强画质,更快生成】新一代视频生成模型 Wan2.2,创新采用MoE架构,实现电影级美学与复杂运动控制,支持720P高清文本/图像生成视频,消费级显卡即可流畅运行,性能达业界领先水平Python00
- GGLM-4.5-AirGLM-4.5 系列模型是专为智能体设计的基础模型。GLM-4.5拥有 3550 亿总参数量,其中 320 亿活跃参数;GLM-4.5-Air采用更紧凑的设计,拥有 1060 亿总参数量,其中 120 亿活跃参数。GLM-4.5模型统一了推理、编码和智能体能力,以满足智能体应用的复杂需求Jinja00
Yi-Coder
Yi Coder 编程模型,小而强大的编程助手HTML013
热门内容推荐
最新内容推荐
项目优选









