送信元IPをIngressによって作成されたGCP Load Balancerに限定することはできますか

Question

私はテストに入れたいGKE上で動作するKubernetes 1.4.5クラスタを持っています。テストでは、私は私のクラスタにアクセスできるソースIPアドレスを制限する一方でそれは

kind: Ingress 
apiVersion: extensions/v1beta1 
metadata: 
    name: keycloak-ingress 
    annotations: 
    kubernetes.io/ingress.allow-http: "false" 
    #kubernetes.io/ingress.class: "gce" 
spec: 
    tls: 
    - secretName: mysecret 
    backend: 
    serviceName: keycloak-https-service 
    servicePort: 443 

以下のようにイングレスを使用してHTTPSを受け入れます。ロードバランサはすべての着信トラフィックの送信元IPをローカルIPアドレスに変換するため、Google Cloudファイアウォールはこのトラフィックを制限できません。ロードバランサに入るトラフィックを制限する方法はありますか？

これは厳密にGCEに関する質問ですが、Kubernetesが提供する解決策があるかもしれません。

Answer 1

あなたはパイプラインを見ている：

GCE L7 LB - > VM：nodePort - >ポッド

トラフィックが行く：

GCE L7 LB - >あなたのvms

は、に記載されているように130.211.0.0/22から来るはずです。そのためには、すでにファイアウォールルールが設定されているはずです。行く 交通：

VMS - >コンテナ

は、あなたのVMのIPから来る必要があります。誰がノードに話しているのかを規制することはできません。ノードに誰が話しているのかを規制することができます。

不幸なことに、この状況のた​​めに、これはHTTP LBでは機能しません。あなたがパケットで実際のクライアントのソースIPを取得するので、L3/L4 LBで動作します。http://kubernetes.io/docs/user-guide/load-balancer/#annotation-to-modify-the-loadbalancer-behavior-for-preservation-of-source-ip