Traefik на Kubernetes неверный IP-адрес клиента при входящих соединениях - PullRequest
Новая
       38

Traefik на Kubernetes неверный IP-адрес клиента при входящих соединениях

0 голосов
/ 25 января 2019

Я запускаю Traefik в Kubernetes, и у меня есть Ingress со следующей конфигурацией: 

---
apiVersion: extensions/v1beta1
kind: Ingress
metadata:
  name: whitelist-ingress
  annotations:
    kubernetes.io/ingress.class: traefik
    traefik.frontend.rule.type: PathPrefix
    traefik.ingress.kubernetes.io/whitelist-source-range: "10.10.10.10/32, 10.10.2.10/23"
    ingress.kubernetes.io/whitelist-x-forwarded-for: "true"
    traefik.ingress.kubernetes.io/preserve-host: "true"
spec:
  rules:
  - host:
    http:
      paths:
      - path: /endpoint
        backend:
          serviceName: endpoint-service
          servicePort: endpoint-port
---

Когда я выполняю POST на вышеуказанной конечной точке, Traefik регистрирует, что входящий IP-адрес - 172.16.0.1, и поэтому мой белый список не запускается. Делая ifconfig, я вижу, что IP принадлежит Docker 

docker0: flags=4099<UP,BROADCAST,MULTICAST>  mtu 1500
        inet 172.26.0.1  netmask 255.255.0.0  broadcast 172.26.255.255

Как сохранить исходный IP-адрес вместо докера?

EDIT

Traefik выставлен как LoadBalancer, а порт 443 через SSL

Это его конфигурация yml 

---
kind: Service
apiVersion: v1
metadata:
  name: traefik
  annotations: {}
    # service.beta.kubernetes.io/aws-load-balancer-internal: 0.0.0.0/0
spec:
  selector:
    k8s-app: traefik-ingress
  ports:
  - protocol: TCP
    port: 80
    targetPort: 80
    name: http
  - protocol: TCP
    port: 443
    targetPort: 443
    name: https
  type: LoadBalancer
  externalTrafficPolicy: Local
  externalIPs:
  - <machine-ip>
---

kind: Deployment
apiVersion: apps/v1
metadata:
  name: traefik-ingress-controller
  namespace: default
  labels:
    k8s-app: traefik-ingress
spec:
  replicas: 2
  selector:
    matchLabels:
      k8s-app: traefik-ingress
  template:
    metadata:
      labels:
        k8s-app: traefik-ingress
        name: traefik-ingress
    spec:
      hostNetwork: true
      serviceAccountName: traefik-ingress-controller
      terminationGracePeriodSeconds: 35
      volumes:
        - name: proxy-certs
          secret:
            secretName: proxy-certs
        - name: traefik-configmap
          configMap:
            name: traefik-configmap
      containers:
      - image: traefik:1.7.6
        name: traefik-ingress
        imagePullPolicy: IfNotPresent
        resources:
          limits:
            cpu: 200m
            memory: 900Mi
          requests:
            cpu: 25m
            memory: 512Mi
        livenessProbe:
          failureThreshold: 2
          httpGet:
            path: /ping
            port: 80
            scheme: HTTP
          initialDelaySeconds: 10
          periodSeconds: 5
        readinessProbe:
          failureThreshold: 2
          httpGet:
            path: /ping
            port: 80
            scheme: HTTP
          periodSeconds: 5
        volumeMounts:
          - mountPath: "/ssl"
            name: "proxy-certs"
          - mountPath: "/config"
            name: "traefik-configmap"
        ports:
        - name: http
          containerPort: 80
        - name: https
          containerPort: 443
        - name: dashboard
          containerPort: 8080
        args:
        - --logLevel=DEBUG
        - --configfile=/config/traefik.toml
---

Как вы можете видеть, здесь вывод kubectl get svc 

traefik                       LoadBalancer   10.100.116.42    <machine-ip>     80:30222/TCP,443:31578/TCP   <days-up>

Обратите внимание, что Traefik работает в кластере kubernetes с одним узлом (мастер / работник на одном узле).

1 Ответ

0 голосов
/ 25 января 2019

В сервисном сервисе LoadBalancer doc Поддержка ssl на aws вы можете прочитать следующую инструкцию:

HTTP и HTTPS выберут проксирование уровня 7: ELB завершится соединение с пользователем, разобрать заголовки и ввести Заголовок X-Forwarded-For с IP-адресом пользователя (модули будут видеть только IP-адрес ELB на другом конце его соединения), когда переадресация запросов.

Так что, если вы добавите в сервис traeffik следующую аннотацию: 

service.beta.kubernetes.io/aws-load-balancer-backend-protocol: https

Он должен работать с аннотацией ingress.kubernetes.io/whitelist-x-forwarded-for: "true", присутствующей в вашем входном конфиге, и перенаправленный заголовок добавляется загрузочным балансировщиком aws.

Отказ от ответственности: я не проверял это решение.

Привет.

...