不同场景下容器内获取客户端源IP

在容器化场景下，客户端和容器服务器之间可能存在多种不同形式的代理服务器，外部请求在经过多次转发后，客户端源IP无法透传至容器，导致容器中的业务无法获取到客户端真实的源IP。

场景介绍

图1 容器中获取源IP

七层转发：

Ingress：应用在七层访问时，客户端源IP默认保存在HTTP头部的“X-Forwarded-For”字段，无需其他操作。

ELB型：ELB型Ingress基于弹性负载均衡服务ELB实现公网和内网（同一VPC内）的七层网络访问。
Nginx型：基于nginx-ingress插件实现七层网络访问，后端服务支持ClusterIP和NodePort类型。

四层转发：

负载均衡：ELB访问方式，是通过弹性负载均衡ELB产品来实现负载均衡。共享型负载均衡四层监听器（TCP/UDP）支持开启“获取客户端IP”功能。而独享型负载均衡的四层监听器（TCP/UDP）默认开启源地址透传功能，无需手动开启。
节点访问：NodePort访问方式，是将容器端口映射到节点端口，如果“服务亲和”选择“集群级别”需要经过一次服务转发，无法实现获取客户端源IP，而“节点模式”不经过转发，可以获取客户端源ip。

ELB Ingress

对于ELB Ingress（即使用HTTP/HTTPS协议），ELB默认会开启获取客户端源IP，无需其他操作。

真实的来访者IP会被负载均衡放在HTTP头部的X-Forwarded-For字段，格式如下：

X-Forwarded-For: 来访者真实IP, 代理服务器1-IP,  代理服务器2-IP, ...

当使用此方式获取来访者真实IP时，获取的第一个地址就是来访者真实IP。

Nginx Ingress

Nginx Ingress使用独享型ELB时，默认开启源地址透传功能，无需其他配置即可获取客户端源IP。
Nginx Ingress使用共享型ELB时，获取客户端源IP的操作步骤如下：

以Nginx工作负载为例，未配置源IP访问前，使用以下命令查看访问日志，其中nginx-c99fd67bb-ghv4q为Pod名称：

kubectl logs nginx-c99fd67bb-ghv4q

回显如下：

...
10.0.0.7 - - [17/Aug/2023:01:30:11 +0000] "GET / HTTP/1.1" 200 19 "http://114.114.114.114:9421/" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/115.0.0.0 Safari/537.36 Edg/115.0.1901.203" "100.125.**.**"

其中100.125.**.**为负载均衡的地址段，说明流量经过负载均衡转发。

开启“获取客户端IP”功能。仅使用共享型ELB时需操作，独享型ELB默认开启源地址透传功能，无需手动开启。
1. 登录弹性负载均衡ELB的管理控制台。
2. 在管理控制台左上角单击图标，选择区域和项目。
3. 选择“服务列表 > 网络 > 弹性负载均衡”。
4. 在“负载均衡器”界面，单击需要操作的负载均衡名称。
5. 切换到“监听器”页签，单击需要修改的监听器名称右侧的“编辑”按钮。如果存在修改保护，请在监听器基本信息页面中关闭修改保护后重试。
6. 开启“获取客户端IP”开关。

重新访问工作负载，并查看新增的访问日志如下：

...
10.0.0.7 - - [17/Aug/2023:02:43:11 +0000] "GET / HTTP/1.1" 304 0 "http://114.114.114.114:9421/" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/115.0.0.0 Safari/537.36 Edg/115.0.1901.203" "124.**.**.**"

显示成功获取到客户端源IP。

如果您需要为集群Nginx Ingress Controller所使用的ELB开启WAF功能，不同的WAF模式会影响Nginx Ingress Controller获取真实的客户端IP：

使用WAF云模式的CNAME接入
采用CNAME模式接入，会导致请求先通过WAF，经过WAF进行防护检查之后再转发给ELB。因此即使ELB已开启源地址透传，实际上客户端得到为WAF的回源IP，造成Nginx Ingress Controller将默认无法获得真实的客户端IP。此时您可以编辑nginx-ingress插件，在nginx配置参数处添加以下配置。
```
{
     "enable-real-ip": "true",
     "forwarded-for-header": "true",
     "proxy-real-ip-cidr": <您从WAF获取到的回源IP段> 
}
```

使用WAF云模式ELB接入
该模式为透明接入（旁路部署），仅支持独享型ELB，Nginx Ingress Controller默认可以获得真实的客户端IP。

负载均衡( LoadBalancer )

负载均衡( LoadBalancer )的Service模式下，不同类型的集群获取源IP的场景不一，部分场景下暂不支持获取源IP。

VPC、容器隧道网络模型

通过控制台开启获取源IP的步骤如下：

在CCE控制台创建负载均衡类型的Service，服务亲和选择“节点级别”而不是“集群级别”。
前往ELB控制台，开启ELB实例对应监听器的“获取客户端IP”功能。独享型ELB默认开启源地址透传功能，无需手动开启。
1. 登录弹性负载均衡ELB的管理控制台。
2. 在管理控制台左上角单击图标，选择区域和项目。
3. 选择“服务列表 > 网络 > 弹性负载均衡”。
4. 在“负载均衡器”界面，单击需要操作的负载均衡名称。
5. 切换到“监听器”页签，单击需要修改的监听器名称右侧的“编辑”按钮。如果存在修改保护，请在监听器基本信息页面中关闭修改保护后重试。
6. 开启“获取客户端IP”开关。