K8S中访问pod如何获取客户端真实IP

# K8S中访问Pod如何获取客户端真实IP

## 引言

在Kubernetes（K8S）集群中，当外部请求通过Service或Ingress到达Pod时，默认情况下Pod看到的客户端IP可能是Service的Cluster IP或Node IP，而非原始客户端IP。这会导致日志记录、访问控制等功能失效。本文将深入探讨获取真实IP的解决方案。

---

## 一、问题背景分析

### 1.1 网络流量路径
典型流量路径：

客户端 → 云LB/NodePort → Service → Pod

在此过程中，IP地址可能经过多次SNAT（源地址转换）。

### 1.2 关键影响因素
- **Service类型**：ClusterIP/NodePort/LoadBalancer
- **Ingress控制器**：Nginx/ALB/Traefik等
- **CNI插件**：Calico/Flannel/Cilium等

---

## 二、核心解决方案

### 2.1 通过Service配置获取真实IP

#### 2.1.1 修改Service配置
```yaml
apiVersion: v1
kind: Service
metadata:
  name: my-service
spec:
  externalTrafficPolicy: Local  # 关键配置
  type: LoadBalancer

作用原理： - Local策略保留源IP，但要求Pod必须与接收流量的Node在同一节点 - 副作用：可能导致负载不均衡

2.1.2 验证方法

kubectl get svc my-service -o jsonpath='{.spec.externalTrafficPolicy}'

2.2 通过Ingress控制器配置

2.2.1 Nginx Ingress示例

controller:
  config:
    use-forwarded-headers: "true"
    compute-full-forwarded-for: "true"

2.2.2 关键HTTP头

• X-Forwarded-For
• X-Real-IP

应用层代码示例（Go）：

func handler(w http.ResponseWriter, r *http.Request) {
    realIP := r.Header.Get("X-Forwarded-For")
    log.Printf("Client IP: %s", realIP)
}

2.3 使用Pod直接暴露（HostNetwork）

高风险方案（仅特殊场景使用）：

apiVersion: apps/v1
kind: Deployment
spec:
  template:
    spec:
      hostNetwork: true  # 共享节点网络栈

三、进阶配置方案

3.1 使用Proxy Protocol（L4层解决方案）

适用于AWS/NLB等场景：

# Nginx配置示例
stream {
  server {
    listen 1234 proxy_protocol;
  }
}

3.2 网络插件级配置

Calico配置示例：

apiVersion: projectcalico.org/v3
kind: IPPool
metadata:
  name: default-pool
spec:
  natOutgoing: false  # 禁用出站NAT

四、验证与调试

4.1 诊断命令

# 查看kube-proxy模式
kubectl get cm -n kube-system kube-proxy -o yaml | grep mode

# 测试Pod内获取的IP
kubectl run -it --rm debug --image=nginx -- bash
curl http://localhost/headers

4.2 常见问题排查表

五、安全注意事项

1. IP欺骗防护：验证X-Forwarded-For时需检查可信代理
2. 网络策略：配合NetworkPolicy做IP白名单
3. 日志脱敏：GDPR等合规要求下需处理IP记录

结语

获取真实客户端IP需要根据具体基础设施进行综合配置。建议按照以下路径实施： 1. 优先配置Service的externalTrafficPolicy 2. 其次调整Ingress控制器配置 3. 最后考虑CNI插件级修改

通过合理组合这些方案，可以确保业务应用正确获取客户端真实IP，同时保持集群的稳定性和安全性。 “`

注：实际使用时可根据具体环境调整配置参数，建议在测试环境验证后再上生产。