如何配置Nginx Ingress Controller限制Kafka应用仅对VPN用户开放

一、确定白名单的正确IP段 #

因为你使用了负载均衡（LB），请求会先经过LB再到达Nginx Ingress Controller，需按以下情况处理：

• 云厂商托管LB（如AWS ALB、Azure LB、GCP LB）：
  LB会将VPN用户的真实IP放入X-Forwarded-For请求头中。此时需要：
  1. 将LB的IP/IP段加入Ingress的信任代理列表，让Nginx解析真实客户端IP；
  2. 白名单中填写内部VPN用户的IP段（比如公司VPN分配的10.10.0.0/16这类网段），而非LB的IP。
• 自建LB：
  先确认LB是否传递了真实客户端IP，若传递则按上述方式配置；若未传递，白名单只能填LB的出口IP，但这种方式无法精准区分VPN用户，建议优先配置LB转发真实IP。

二、修复白名单注解不生效的问题 #

结合你的现有Ingress配置，补充或调整以下内容：

1. 添加信任代理注解：
   加入nginx.ingress.kubernetes.io/trust-proxy注解，指定LB的IP/IP段，让Nginx信任该代理来源：

   nginx.ingress.kubernetes.io/trust-proxy: "Y.Y.Y.Y/24"  # 替换为你的LB实际IP段
   

2. 修正白名单IP段：
   将X.X.X.X/32替换为VPN用户的IP段，多个网段用逗号分隔，示例：

   nginx.ingress.kubernetes.io/whitelist-source-range: "10.10.0.0/16,192.168.50.0/24"
   

3. 验证配置生效：
   修改Ingress后，查看Nginx Ingress Controller日志确认配置已重新加载：

   kubectl logs -n <ingress-controller-namespace> <ingress-controller-pod-name> | grep "reload"
   

三、修改后的完整Ingress示例 #

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: kafdrop-ingress
  annotations:
    cert-manager.io/cluster-issuer: "letsencrypt-prod"
    kubernetes.io/ingress.class: "nginx"
    nginx.ingress.kubernetes.io/trust-proxy: "Y.Y.Y.Y/24"  # 替换为LB的IP段
    nginx.ingress.kubernetes.io/whitelist-source-range: "10.10.0.0/16"  # 替换为VPN用户IP段
spec:
  tls:
  - hosts:
    - kafka-abc.xyz
    secretName: kafdrop-tls
  rules:
  - host: kafka-abc.xyz
    http:
        paths:
        - pathType: Prefix
          path: "/"
          backend:
            service:
              name: kafdrop
              port:
                number: 9000

额外排查点 #

• 确认Ingress Controller的ingress.class与你配置的kubernetes.io/ingress.class: "nginx"一致，避免配置错配；
• 测试时从VPN环境访问，用curl -v https://kafka-abc.xyz查看请求头中的X-Forwarded-For是否包含你的VPN IP；
• 检查是否有其他Ingress规则匹配同一个host，导致白名单规则被覆盖。

内容的提问来源于stack exchange，提问作者Sachin Dhatrak