能否在Consul服务器配置中用CIDR块设置client_addr以允许特定子网访问？

首先得明确一个关键点：client_addr这个配置项的作用是指定Consul服务器监听的IP地址，它并不支持直接配置CIDR块（比如10.10.4.0/24）——你只能设置单个IP、多个用逗号分隔的IP，或者0.0.0.0（监听所有网卡）。要实现只允许特定子网向Consul发送请求，需要从网络层防火墙和Consul ACL权限控制两个层面配合来做，下面是具体步骤：

1. 网络层：用防火墙限制来源IP #

这是最直接的拦截方式，确保只有目标子网的流量能到达Consul服务端口（默认是8500 HTTP、8501 HTTPS、8301等）。以Linux的iptables为例，你可以添加以下规则：

# 允许10.10.4.0/24、10.10.2.0/24子网访问Consul的HTTP端口（8500）
iptables -A INPUT -p tcp -s 10.10.4.0/24 --dport 8500 -j ACCEPT
iptables -A INPUT -p tcp -s 10.10.2.0/24 --dport 8500 -j ACCEPT
# 如果需要允许整个10.10.0.0/16子网，替换上面两行成这一行：
# iptables -A INPUT -p tcp -s 10.10.0.0/16 --dport 8500 -j ACCEPT

# 拒绝其他所有非本地的8500端口请求
iptables -A INPUT -p tcp --dport 8500 -s ! 127.0.0.1 -j DROP

如果是用ufw或者云服务商的安全组（比如AWS安全组、阿里云安全组），逻辑是一样的：只开放目标子网的IP段访问Consul相关端口。

2. 应用层：用Consul ACL细化权限控制 #

你已经在配置里开启了ACL，并且默认策略是deny，这很好。接下来可以创建一个ACL策略，允许来自特定子网的客户端执行相应操作（比如服务注册、查询等）。

步骤1：创建ACL策略文件（比如allow-subnet-policy.hcl） #

policy = <<EOF
node_prefix "" {
  policy = "read"
}
service_prefix "" {
  policy = "read"
}
# 如果需要允许服务注册，添加下面的规则：
# service_prefix "" {
#   policy = "write"
# }
EOF

# 允许来自10.10.0.0/16子网的请求绑定这个策略
bindings {
  source = ["10.10.0.0/16"]
}

步骤2：通过Consul CLI创建这个策略 #

consul acl policy create -name "allow-trusted-subnets" -description "Allow access from trusted subnets" -rules @allow-subnet-policy.hcl

步骤3：为客户端生成对应的Token #

consul acl token create -description "Trusted subnet client token" -policy-name "allow-trusted-subnets"

客户端需要使用这个Token来访问Consul，这样即使有其他IP突破了防火墙，也会因为没有合法Token而被ACL拒绝。

额外说明 #

如果你不想用防火墙，也可以通过Consul的allowed_client_networks配置吗？不，这个参数是用于Consul的Serf LAN/WAN通信的，不是控制客户端API请求的来源。所以还是建议防火墙+ACL的组合，既安全又灵活。

最后，修改你的config.json时，client_addr保持0.0.0.0就可以（因为防火墙已经做了拦截），或者如果你有多个网卡，可以绑定到特定的网卡IP，但这和限制子网访问是两回事。

内容的提问来源于stack exchange，提问作者Kingindanord