Apache APISIX 在 OVH Kubernetes 集群中获取客户端真实 IP 的配置指南

背景介绍

在云原生架构中，当 Apache APISIX 作为 API 网关部署在 Kubernetes 集群中，并且集群前端有云服务商提供的负载均衡器时，获取客户端真实 IP 地址是一个常见的技术挑战。特别是在 OVH 云平台上，这个问题需要通过特定的配置来解决。

问题分析

在 OVH Kubernetes 集群环境中，负载均衡器会拦截所有进入的流量，导致后端服务（如 APISIX）默认只能看到负载均衡器的 IP 地址，而非原始客户端的真实 IP。这种情况会影响基于 IP 的访问控制、日志记录和分析等功能。

解决方案

1. 启用 PROXY 协议

OVH 负载均衡器支持 PROXY 协议，这是一种在 TCP 连接开始时传递客户端信息的标准方法。要在 APISIX 中启用此功能，需要进行以下配置：

proxy_protocol:
  listen_http_port: 9181
  listen_https_port: 9182
  enable_tcp_pp: true
  enable_tcp_pp_to_upstream: true

2. 配置 Kubernetes Service

在 Kubernetes 中，需要确保 Service 配置正确：

apiVersion: v1
kind: Service
metadata:
  name: apisix-service
  annotations:
    service.beta.kubernetes.io/ovh-loadbalancer-proxy-protocol: "v2"
spec:
  ports:
    - name: http
      port: 80
      targetPort: 9181
    - name: https
      port: 443
      targetPort: 9182
  selector:
    app: apisix
  type: LoadBalancer

3. APISIX 配置详解

• listen_http_port 和 listen_https_port：指定 APISIX 监听 PROXY 协议流量的端口
• enable_tcp_pp：为 TCP 流量启用 PROXY 协议支持
• enable_tcp_pp_to_upstream：将 PROXY 协议信息传递给上游服务

验证配置

配置完成后，可以通过以下方式验证：

1. 检查 APISIX 日志，确认记录了客户端真实 IP
2. 使用测试工具直接访问 APISIX，检查 X-Forwarded-For 头信息
3. 通过 APISIX 管理 API 检查连接信息

注意事项

1. 确保 OVH 负载均衡器和 APISIX 都使用相同版本的 PROXY 协议（推荐 v2）
2. 端口映射必须正确，负载均衡器的端口需要映射到 APISIX 的 PROXY 协议监听端口
3. 在 Kubernetes 环境中，可能需要重启 APISIX Pod 以使配置生效
4. 如果使用 HTTPS，还需要确保证书配置正确

总结

在 OVH Kubernetes 环境中配置 APISIX 获取客户端真实 IP 需要负载均衡器和 APISIX 两端的协调配置。通过正确启用 PROXY 协议并确保端口映射正确，可以有效地解决这个问题。这种配置不仅适用于 OVH 环境，其原理也可以应用于其他云服务提供商的类似场景。