K8s Nginx Ingress如何限制特定路由仅VPN用户访问？

问题背景 #

我有一个使用Nginx作为Ingress的测试Kubernetes集群，该集群可通过VPN和公网访问。我希望将特定路由的访问权限限制为仅VPN用户。

目前我仅找到一种方法：使用IP白名单限制仅VPN网段（如10.10.10.1/24）访问，配置示例如下：

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: example
  annotations:
    nginx.ingress.kubernetes.io/whitelist-source-range: 10.10.10.1/24 # this being the VPN range

但我觉得这种方法不够规范，我认为正确的做法应该是限制Ingress接收请求的网络接口。请问正确的实现方式是什么？能否针对特定路由限制Ingress接收请求的网络接口？还是IP白名单才是合适的方案？

方案分析与结论 #

关于“限制Ingress接收请求的网络接口” #

针对特定路由限制Ingress绑定的网络接口，在Nginx Ingress Controller中并没有直接的原生支持。因为Ingress Controller作为集群内的服务，通常会监听所有可用的网络接口（或通过NodePort/LoadBalancer暴露），无法对单个Ingress资源的特定路由指定监听网卡。

两种可行方案对比 #

• IP白名单（当前方案）
  这是Nginx Ingress官方推荐的、针对特定路由做访问控制的标准方案，完全符合规范，优势包括：

  • 配置简单，通过nginx.ingress.kubernetes.io/whitelist-source-range注解即可实现，无需额外组件
  • 精准匹配VPN网段，确保只有VPN来源的请求能访问目标路由
  • 支持多个网段组合配置，例如10.10.10.0/24,192.168.1.0/24
  • 可配合nginx.ingress.kubernetes.io/deny-status-code自定义拒绝后的返回状态码

• 双Ingress Controller实例（网卡隔离方案）
  如果想通过网卡层面做隔离，只能部署两个独立的Nginx Ingress Controller：一个绑定公网网卡处理公网路由，另一个仅绑定VPN网卡处理VPN专属路由。然后通过IngressClass将不同的Ingress资源分配到对应Controller。但这种方式：

  • 运维成本高，需要维护两套Controller
  • 无法在同一个Ingress的不同路由上做区分，只能按Ingress资源维度隔离

最终结论 #

对于你的需求（特定路由仅允许VPN访问），IP白名单是最合适、最轻量化的方案。限制网络接口的方式无法针对单个路由实现，且复杂度更高，完全没必要舍近求远。

内容的提问来源于stack exchange，提问作者Tiddo