Kubernetes 入口白名單 IP 用於路徑

Question

我知道我可以將整個入口 object 的 IP 列入白名單，但是有沒有辦法將各個路徑的 IP 列入白名單？ 例如，如果我只想允許從10.0.0.0/16訪問/admin ？

ingress.yml ：

---
apiVersion: extensions/v1beta1
kind: Ingress
metadata:
  name: frontend
  namespace: default
  labels:
    app: frontend
  annotations:
    kubernetes.io/ingress.class: nginx
    cert-manager.io/cluster-issuer: "letsencrypt-prod"
    #nginx.ingress.kubernetes.io/whitelist-source-range: "10.0.0.0/16"
spec:
  tls:
    - hosts:
        - frontend.example.com
      secretName: frontend-tls
  rules:
    - host: frontend.example.com
      http:
        paths:
          - path: /
            backend:
              serviceName: frontend
              servicePort: 80
          - path: /api
            backend:
              serviceName: api
              servicePort: 8000
          - path: /admin
            backend:
              serviceName: api
              servicePort: 8000
          - path: /staticfiles
            backend:
              serviceName: api
              servicePort: 80

Answer 1

如果您想將其拆分為兩個 Ingre，則如下面的示例所示。 第一個Ingress帶有/admin路徑和注釋，第二個Ingress帶有任何IP允許的其他paths 。

apiVersion: extensions/v1beta1
kind: Ingress
metadata:
  name: frontend-admin
  namespace: default
  labels:
    app: frontend
  annotations:
    kubernetes.io/ingress.class: nginx
    cert-manager.io/cluster-issuer: "letsencrypt-prod"
    nginx.ingress.kubernetes.io/whitelist-source-range: "10.0.0.0/16"
spec:
  tls:
    - hosts:
        - frontend.example.com
      secretName: frontend-tls
  rules:
    - host: frontend.example.com
      http:
        paths:
          - path: /admin
            backend:
              serviceName: api
              servicePort: 8000
---
apiVersion: extensions/v1beta1
kind: Ingress
metadata:
  name: frontend-all
  namespace: default
  labels:
    app: frontend
  annotations:
    kubernetes.io/ingress.class: nginx
    cert-manager.io/cluster-issuer: "letsencrypt-prod"
spec:
  tls:
    - hosts:
        - frontend.example.com
      secretName: frontend-tls
  rules:
    - host: frontend.example.com
      http:
        paths:
          - path: /
            backend:
              serviceName: frontend
              servicePort: 80
          - path: /api
            backend:
              serviceName: api
              servicePort: 8000
          - path: /staticfiles
            backend:
              serviceName: api
              servicePort: 80

請記住，注釋nginx.ingress.kubernetes.io/whitelist-source-range: "10.0.0.0/16"將覆蓋您的一些配置。 如Nginx 文檔中所述：

向 Ingress 規則添加注釋會覆蓋任何全局限制。

另一種選擇是使用ConfigMap whitelist-source-range 。 就像在這個例子中提到的，你可以使用ngx_http_access_module 。

在 Nginx 配置中，每個path都保存為

location / {
  ...
}

location /api {
  ...
}

你可以在那里添加這些限制。 下面的例子：

location / {
    deny  192.168.1.1;
    allow 192.168.1.0/24;
    allow 10.1.1.0/16;
    allow 2001:0db8::/32;
    deny  all;
}

Answer 2

您可以嘗試將入口分成幾部分。 我創建了兩個都有差異的入口。 路徑，您可以更改白名單 IP

1 ：

apiVersion: extensions/v1beta1
kind: Ingress
metadata:
  name: frontend
  namespace: default
  labels:
    app: frontend
  annotations:
    kubernetes.io/ingress.class: nginx
    cert-manager.io/cluster-issuer: "letsencrypt-prod"
    #nginx.ingress.kubernetes.io/whitelist-source-range: "10.0.0.0/16"
spec:
  tls:
    - hosts:
        - frontend.example.com
      secretName: frontend-tls
  rules:
    - host: frontend.example.com
      http:
        paths:
          - path: /
            backend:
              serviceName: frontend
              servicePort: 80

2 ：

apiVersion: extensions/v1beta1
kind: Ingress
metadata:
  name: frontend
  namespace: default
  labels:
    app: frontend
  annotations:
    kubernetes.io/ingress.class: nginx
    cert-manager.io/cluster-issuer: "letsencrypt-prod"
    #nginx.ingress.kubernetes.io/whitelist-source-range: "10.0.0.0/16"
spec:
  tls:
    - hosts:
        - frontend.example.com
      secretName: frontend-tls
  rules:
    - host: frontend.example.com
      http:
        paths:
          - path: /
            backend:
              serviceName: frontend-two
              servicePort: 80

Answer 3

你解決問題了嗎？ 從上一個答案中，我無法弄清楚如何使用此選項

另一種選擇是使用 ConfigMap whitelist-source-range。 就像在這個例子中提到的，你可以使用 ngx_http_access_module

你能舉個例子嗎？

分成幾個入口 - 它非常不適合某些情況=（

---

我剛剛找到了另一個解決方案（但我認為先前答案的解決方案更漂亮）：您可以使用注釋nginx.ingress.kubernetes.io/server-snippet並編寫，就像直接在 ZEE434023CF89D7DFB21F63D64F0

https://kubernetes.github.io/ingress-nginx/user-guide/nginx-configuration/annotations/#server-snippet

https://docs.nginx.com/nginx-ingress-controller/configuration/ingress-resources/advanced-configuration-with-annotations/