K8s环境下限制端口转发方式对特定API的localhost访问

1. 基于请求源IP+Pod自身IP判断 #

Kubernetes端口转发的请求，在Pod内看到的源IP通常是Pod所在节点的IP或kube-proxy相关转发IP；而kubectl exec进入Pod后发起的本地请求，源IP是Pod的回环地址127.0.0.1或Pod自身容器IP。

实现步骤：

• 在Pod的spec中配置环境变量，注入Pod自身IP：

  env:
    - name: POD_IP
      valueFrom:
        fieldRef:
          fieldPath: status.podIP
  

• 在HTTP服务器的中间件里，获取请求源IP，对受限API做判断：若请求源IP既不是127.0.0.1也不是Pod自身IP，则拒绝请求

示例伪代码（Go语言）：

func restrictPortForwardMiddleware(next http.Handler) http.Handler {
    podIP := os.Getenv("POD_IP")
    restrictedAPI := "/your-sensitive-api"
    return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
        if r.URL.Path == restrictedAPI {
            clientIP := strings.Split(r.RemoteAddr, ":")[0]
            if clientIP != "127.0.0.1" && clientIP != podIP {
                w.WriteHeader(http.StatusForbidden)
                w.Write([]byte("Forbidden: This API cannot be accessed via port forward"))
                return
            }
        }
        next.ServeHTTP(w, r)
    })
}

2. 借助Sidecar代理实现流量拦截 #

如果不想修改主服务代码，可以部署Sidecar容器作为反向代理：

• Sidecar监听Pod内部端口，将请求转发给主HTTP服务器
• 在Sidecar中配置规则：仅允许源IP为127.0.0.1或Pod自身IP的请求访问受限API，拦截端口转发过来的外部请求
• 主服务只需接收Sidecar的转发请求，无需额外改造

3. RBAC全局限制端口转发（补充方案） #

如果需要彻底禁止用户端口转发Pod（而非仅限制单个API），可以通过Kubernetes RBAC配置：

• 创建Role/ClusterRole，拒绝pods/portforward资源的访问权限
• 将该角色绑定到目标用户或用户组

此方案为全局限制，不符合你允许其他API端口转发的需求，仅作场景补充。

注意事项 #

• 确保POD_IP环境变量配置正确，否则IP判断逻辑会失效
• 部分集群中端口转发的源IP可能是kube-proxy的IP，需结合实际环境调整判断规则
• Sidecar方案需注意资源占用与转发性能损耗

内容的提问来源于stack exchange，提问作者ray an