Istio路径访问控制配置问题：特定IP访问指定路径遇403错误

可能的问题点 #

1. 路径匹配精度不匹配：VirtualService使用prefix匹配路径，但AuthorizationPolicy中用了精确路径匹配，导致带参数、子路径的请求被拒绝。
2. AuthorizationPolicy作用范围错误：如果是入口网关层面的访问控制，当前配置的selector指向后端服务而非Istio网关，导致RBAC规则未在流量入口处生效。
3. 客户端IP识别问题：若请求经过负载均衡器，网关可能获取到的是负载均衡器IP而非真实客户端IP，导致IP白名单校验失败。
4. 规则覆盖不全：未明确覆盖所有需要开放的路径，或规则顺序引发匹配逻辑冲突。

修正后的配置方案 #

1. 保留现有VirtualService配置 #

当前VirtualService的路径路由逻辑正确，无需修改。

2. 修正AuthorizationPolicy #

场景一：入口网关层面控制访问（推荐）

将规则绑定到Istio入口网关，确保流量进入集群时完成权限校验：

apiVersion: security.istio.io/v1beta1
kind: AuthorizationPolicy
metadata:
  name: static-data-console
  namespace: istio-system  # 替换为网关所在命名空间
spec:
  action: ALLOW
  targetRef:
    kind: Gateway
    name: gateway-public
    namespace: istio-gateway  # 替换为Gateway实际所在命名空间
  rules:
    # 允许指定IP访问/data-console前缀路径
    - from:
        - source:
            ipBlocks:
              - 204.117.96.31/32  # 用CIDR格式明确单个IP
      to:
        - operation:
            methods: ["GET"]
            paths: ["/static-data/data-console*"]  # 前缀匹配，覆盖子路径/参数
    # 允许所有IP访问其他指定路径
    - to:
        - operation:
            methods: ["GET"]
            paths:
              - "/static-data/content/fetch*"
              - "/static-data/development*"
    # 按需添加：开放其余所有GET路径（如果需要）
    - to:
        - operation:
            methods: ["GET"]
            paths: ["*"]

场景二：后端服务层面控制访问

若需在后端服务sidecar层面校验，确保selector匹配后端服务标签：

apiVersion: security.istio.io/v1beta1
kind: AuthorizationPolicy
metadata:
  name: static-data-console
  namespace: <后端服务所在命名空间>  # 替换为实际命名空间
spec:
  action: ALLOW
  selector:
    matchLabels:
      app: static-data-app
  rules:
    - from:
        - source:
            ipBlocks:
              - 204.117.96.31/32
      to:
        - operation:
            methods: ["GET"]
            paths: ["/static-data/data-console*"]
    - to:
        - operation:
            methods: ["GET"]
            paths:
              - "/static-data/content/fetch*"
              - "/static-data/development*"
    # 按需添加：开放其余GET路径
    - to:
        - operation:
            methods: ["GET"]
            paths: ["*"]

3. 确保客户端IP正确识别 #

若请求经过负载均衡器，需配置网关获取真实客户端IP：

• 启用PROXY Protocol（负载均衡器支持时）：

  apiVersion: networking.istio.io/v1beta1
  kind: Gateway
  metadata:
    name: gateway-public
    namespace: istio-gateway
  spec:
    servers:
      - port:
          number: 80
          name: http
          protocol: HTTP
        tls:
          mode: DISABLE
        proxyProtocol:
          accept: true
    selector:
      istio: ingressgateway
  

• 或设置服务externalTrafficPolicy: Local：

  apiVersion: v1
  kind: Service
  metadata:
    name: istio-ingressgateway
    namespace: istio-system
  spec:
    externalTrafficPolicy: Local
  

4. 验证配置 #

应用配置后，执行以下命令排查问题：

# 查看AuthorizationPolicy状态
kubectl get authorizationpolicy -n <对应命名空间>
# 查看网关日志定位403原因
kubectl logs -n istio-system <istio-ingressgateway-pod-name> | grep RBAC

内容的提问来源于stack exchange，提问作者sunil kumar