Envoy是否支持基于DNS解析后的IP范围进行请求路由？

核心需求回顾 #

需要Envoy对目标主机名完成DNS解析，根据解析出的IP所属范围路由请求：

• 若IP落在10.0.0.0/8（即10.0.0.0 – 10.255.255.255）网段，路由至cluster-a
• 其他IP范围则路由至cluster-b

原生能力现状 #

目前Envoy的原生路由规则里，确实没有直接支持先解析域名、再根据解析后IP范围匹配路由的逻辑。常规路由配置仅基于请求域名、路径、Header等字段，或是直接指定集群的DNS域名（由Envoy自动解析转发，无法介入IP范围判断）。

可行替代实现方案 #

方案1：自定义Lua脚本扩展 #

利用Envoy的lua_filter插入请求处理逻辑，实现解析与路由判断：

1. 提取请求的目标主机名
2. 调用DNS解析逻辑（可复用Envoy内置DNS客户端或对接外部服务）
3. 校验解析出的IP所属网段
4. 通过自定义Header标记目标集群，再由路由规则匹配转发

示例核心逻辑代码：

function envoy_on_request(request_handle)
    local hostname = request_handle:headers():get(":authority")
    local ip = resolve_dns(hostname) -- 实现DNS解析逻辑
    -- 严谨的CIDR校验可引入专门的IP处理库，此处为简化示例
    if string.match(ip, "^10%.") then
        request_handle:headers():set("x-target-cluster", "cluster-a")
    else
        request_handle:headers():set("x-target-cluster", "cluster-b")
    end
end

方案2：前置服务做解析判断 #

在Envoy前端部署轻量服务（如Nginx、自定义Go服务），预先完成域名解析、IP范围校验，再通过Header标记目标集群后转发给Envoy，Envoy仅需根据Header完成路由。该方案复杂度低，但会增加一层转发节点。

方案3：集群配置结合健康检查（间接实现） #

若目标域名的解析结果仅在固定网段切换，可配置两个集群：

• cluster-a：配置DNS为目标域名，开启strict_dns模式，添加ip_allowlist限制仅接收10.0.0.0/8网段IP
• cluster-b：同样配置目标域名，ip_allowlist设为非10段IP
  路由层配置故障转移逻辑，当cluster-a因IP不在白名单导致健康检查失败时，自动切换至cluster-b。此方式依赖健康检查机制，逻辑不够直接，存在一定延迟。

从业者实践总结 #

多数团队遇到此类需求时，优先选择Lua脚本扩展方案——直接嵌入Envoy流程，无需额外节点，灵活性最高。部分团队会将解析与判断逻辑整合到自定义服务发现插件中，但开发成本较高。

确实如你查阅文档后的预期，Envoy原生未提供该功能，但通过扩展能力完全可实现需求，仅需额外的开发或配置工作。

内容的提问来源于stack exchange，提问作者Allen Lang