Istio 1.12如何基于源IP地址实现请求限流

Istio 1.12 版本原生支持基于源IP维度的请求限流能力，包含本地限流、全局限流两种实现模式。直接套用官方默认全局限流样例无法实现源IP限流，是因为样例默认未配置源IP相关的匹配维度，并非版本不支持该能力。

• 未在限流规则中声明源IP维度的限流键：官方默认全局限流样例的匹配维度仅覆盖请求路径、请求头等字段，没有提取客户端源IP作为限流判定的维度，规则自然不会按源IP生效。
• 源IP获取逻辑错误：如果Istio入口网关前部署了七层负载均衡（比如Nginx、云厂商SLB/ALB），但没有在Istio中配置信任代理网段、开启真实客户端IP透传，Envoy侧拿到的源IP是前置负载的IP，不是真实用户IP，会导致限流判定完全不符合预期。
• 规则绑定范围错误：限流规则绑定的网关、工作负载范围和实际流量入口不匹配，规则根本没有被对应流量路径上的Envoy代理加载。

• 第一步先确保源IP透传正常：在Istio网关配置中开启use_remote_address参数，指定remote_ip_proxy_header为X-Forwarded-For，同时配置trusted_cidrs为前置负载的IP段，避免拿到伪造的客户端IP。
• 全局限流场景下，需要在对应EnvoyFilter中给限流过滤器添加源IP维度的descriptor配置，核心配置片段参考：

descriptors:
- key: client_ip
  remote_address: {}

• 部署的全局限流服务（通常使用Envoy官方开源的ratelimit服务）侧，需要同步配置client_ip维度的限流规则，针对不同源IP设置对应的请求阈值。

如果不需要跨实例的全局计数限流，优先选择本地限流模式，无需额外部署独立限流服务，配置更轻量，性能损耗更低，直接在本地限流过滤器中配置源IP维度规则即可。

内容的提问来源于stack exchange，提问作者Rainbird