未注入Istio Sidecar时，能否用AuthorizationPolicy限制IP访问？

直接用Istio AuthorizationPolicy实现IP段限制是可行的 #

Istio的AuthorizationPolicy并非只能作用于Sidecar代理，它可以直接绑定到Istio Gateway——因为Gateway本身就运行着Istio代理组件，所有入口流量都会经过Gateway的代理，所以可以在这里直接配置访问控制规则，无需后端Pod注入Sidecar。

举个配置示例，假设你的Gateway名为my-gateway，要允许192.168.1.0/24和10.0.0.0/8段的IP访问：

apiVersion: security.istio.io/v1beta1
kind: AuthorizationPolicy
metadata:
  name: gateway-ip-allowlist
  namespace: istio-system # 或者你的Gateway所在命名空间
spec:
  selector:
    matchLabels:
      istio: ingressgateway # 匹配你的Gateway标签
  action: ALLOW
  rules:
  - from:
    - source:
        ipBlocks: ["192.168.1.0/24", "10.0.0.0/8"]
  to:
    - operation:
        hosts: ["your-app-domain.com"] # 可选，限制到特定域名

这个规则会让Gateway只放行指定IP段的请求，拒绝其他来源的流量。

其他实现方式 #

如果不想依赖Istio的AuthorizationPolicy，还有以下几种方案：

• Kubernetes NetworkPolicy：如果你的集群使用支持NetworkPolicy的CNI插件（如Calico、Cilium），可以创建NetworkPolicy来限制访问应用Service的客户端IP。示例如下：

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: app-ip-restriction
  namespace: your-app-namespace
spec:
  podSelector:
    matchLabels:
      app: your-app # 匹配你的应用Pod标签
  policyTypes:
  - Ingress
  ingress:
  - from:
    - ipBlock:
        cidr: 192.168.1.0/24
    - ipBlock:
        cidr: 10.0.0.0/8
    ports:
    - protocol: TCP
      port: 80 # 应用服务端口

注意NetworkPolicy是基于Pod层面的访问控制，需要确保规则匹配到应用的所有Pod。

• 应用层内置IP校验：在应用代码中添加IP白名单逻辑，直接在业务层过滤不符合要求的请求。这种方式无需依赖基础设施，但会将访问控制逻辑耦合到应用中，维护和调整不够灵活。

内容的提问来源于stack exchange，提问作者BStadlbauer