K8s集群中Feign调用跨Pod API遇间歇性代理403禁止错误求助

在Kubernetes集群内，通过Feign客户端使用Ingress URL调用其他Pod的Rest API时，间歇性触发以下错误：

java.io.IOException: Unable to tunnel through proxy. Proxy returns "HTTP/1.1 403 Forbidden"

已配置JDK代理相关属性，但问题仍未彻底解决：

• jdk.http.auth.tunneling.disabledSchemes=""
• jdk.http.auth.proxying.disabledSchemes=""

排查方向及解决方案 #

1. 确认Feign代理配置优先级 #

Feign自身的代理配置会覆盖JDK系统属性，检查是否存在以下情况：

• 代码中通过Feign.Builder.proxy()显式设置了代理
• 配置文件中定义了feign.proxy.host、feign.proxy.port等属性
  若为集群内部调用，建议直接禁用Feign的代理配置，避免请求被转发到外部代理服务器。

2. 校验Pod的代理环境变量 #

Pod内的HTTP_PROXY、HTTPS_PROXY、NO_PROXY环境变量会影响请求路由：

• 确认NO_PROXY已包含Kubernetes内部域名（如Ingress集群内域名、Service的svc.cluster.local后缀域名）
• 若Ingress仅用于集群内部访问，必须将其域名加入NO_PROXY，防止请求被错误转发到外部代理
  可在Pod内执行echo $NO_PROXY查看当前配置，若缺失需修改Deployment/StatefulSet的环境变量定义。

3. 排查代理服务器的规则限制 #

间歇性错误大概率和代理服务器的动态规则有关：

• 检查代理是否对请求频率、会话时长有限流策略
• 确认代理允许对Kubernetes内部Ingress地址的隧道请求
• 查看代理服务器日志，定位403错误的触发条件（如缺少认证头、请求路径被拦截）

4. 确保JDK属性的生效时机 #

避免在代码中动态设置JDK代理属性，改为通过JVM启动参数传递：

• 在容器启动命令中添加-Djdk.http.auth.tunneling.disabledSchemes=""和-Djdk.http.auth.proxying.disabledSchemes=""
• 确认应用启动脚本或Kubernetes的command/args配置已正确引入这些参数

5. 改用Service域名进行内部调用 #

集群内Pod间调用优先使用Kubernetes Service的ClusterIP域名（格式：{service-name}.{namespace}.svc.cluster.local），直接绕过Ingress和外部代理，从根源避免代理隧道问题。

内容的提问来源于stack exchange，提问作者user27474209