Istio环境下通过源IP限制Kiali访问时AuthorizationPolicy不生效求助

核心原因1：源IP透传缺失 #

你的IngressGateway当前默认使用externalTrafficPolicy: Cluster配置，会对入站请求做SNAT（源地址转换），导致Kiali Sidecar收到的源IP是IngressGateway的Pod IP，而非客户端真实IP，自然无法匹配你配置的remoteIpBlocks地址段。

核心原因2：策略绑定逻辑可优化 #

当前AuthorizationPolicy绑定在Kiali工作负载上，非法请求会先经过网关转发到Kiali Sidecar才会被拦截，不如在网关层直接拦截效率高。如果使用的是自定义的my-internal-gateway，还需要确认网关本身注入了Sidecar才能使策略生效。

其他可能原因：缺少可信代理配置 #

如果请求到达Istio网关前还有前置七层代理（如内网WAF、负载均衡），Istio默认不会从X-Forwarded-For头提取真实客户端IP，导致remoteIpBlocks匹配失效。

步骤1：配置IngressGateway源IP透传 #

修改你的IstioOperator配置，给IngressGateway增加externalTrafficPolicy: Local配置，禁用SNAT保留真实源IP：

apiVersion: install.istio.io/v1alpha1
kind: IstioOperator
spec:
  # 其他原有配置保留
  components:
    ingressGateways:
      - name: istio-ingressgateway # 如果是自定义的my-internal-gateway请对应修改名称
        enabled: true
        k8s:
          # 新增service配置
          service:
            externalTrafficPolicy: Local
          # 原有overlay等配置保留
          overlays:
          - apiVersion: apps/v1
            kind: Deployment
            name: istio-ingressgateway
            patches:
            - path: kind
              value: DaemonSet
            # 其余原有配置不变

步骤2：调整AuthorizationPolicy配置（二选一） #

方案A：网关层拦截（推荐） #

直接将策略绑定到IngressGateway，在入口层就拦截非法请求，仅允许指定IP访问Kiali域名：

apiVersion: security.istio.io/v1beta1
kind: AuthorizationPolicy
metadata:
  name: kiali-ingress-policy-allow
  namespace: istio-system
spec:
  selector:
    matchLabels:
      # 替换为你使用的my-internal-gateway的实际标签
      app: my-internal-gateway
  action: ALLOW
  rules:
  - from:
    - source:
        remoteIpBlocks: ["10.43.212.247/32","10.43.212.242/32"]
  to:
  - operation:
      hosts: ["kiali.myinternaldomain.local"]

方案B：保留Kiali侧绑定 #

如果要保留策略绑定在Kiali工作负载，先确认Kiali Pod已成功注入Sidecar（可通过kubectl get pod -n istio-system <kiali-pod-name> -o jsonpath='{.spec.containers[*].name}'检查是否有istio-proxy容器），待步骤1的源IP透传配置生效后即可正常匹配。

步骤3：（可选）配置可信代理 #

如果存在前置代理，在IstioOperator的meshConfig下增加可信代理配置，从X-Forwarded-For头提取真实源IP：

meshConfig:
  accessLogFile: /dev/stdout
  # 新增以下配置
  defaultConfig:
    gatewayTopology:
      numTrustedProxies: 1 # 按实际前置代理层数调整，有N层前置代理就填N

生效验证 #

修改配置后重新 apply IstioOperator、AuthorizationPolicy资源，重启IngressGateway和Kiali Pod，使用不在允许列表的IP访问Kiali，会返回403拒绝，允许列表内IP可正常访问即代表配置生效。

内容的提问来源于stack exchange，提问作者brgsousa