istio下游的服务无法获取client来源IP

最新推荐文章于 2022-11-18 14:39:28 发布

Linux_白菜

最新推荐文章于 2022-11-18 14:39:28 发布

阅读量996

点赞数

分类专栏：问题解决 Istio

本文链接：https://blog.csdn.net/qq_41674452/article/details/107045632

版权

在Kubernetes中，使用Istio时发现下游服务无法获取客户端的真实IP，表现为日志显示NodeIP而非客户端IP。问题出现在NodePort类型的流量过程中，客户端IP在经过节点时被替换。解决方案是通过设置Istio ingress gateway服务的spec.externalTrafficPolicy为Local，以保持源IP地址不变。参照Kubernetes官方文档进行配置可解决此问题。

摘要由CSDN通过智能技术生成

问题描述

查看Tomcat或Nginx日志时候，发现日志来源IP均为Node节点IP，无法得到真实请求IP

访问流程如下

Type=NodePort：

          client
             \ ^
              \ \
               v \
   node 1 <--- node 2
    | ^   SNAT
    | |   --->
    v |
 endpoint

客户端发送 tcp 包到 node2:nodePort
node2 把客户端源ip地址替换为node2 的ip地址
node2 把请求的目的地ip替换为 pod ip
tcp包被路由到 node1，接着达到 endpoint(如service)
pod的响应被路由到 node2
node2把pod的响应发送给客户端

期间客户端的源IP地址丢失(2步)

Type=LoadBalancer

                      client
                        |
                      lb VIP
                     / ^
                    v /
health check --->   node 1   node 2 <--- health check
        200  <---   ^ |             ---> 500
                    | V
                 e