如何阻止Azure AKS端点接收大量无用第三方探测流量？

以下方案按优先级从高到低排序，优先部署上层拦截可最大程度降低集群负载

1. 边缘层前置拦截（流量不进入Azure数据中心内网，拦截效率最高） #

• 绑定Azure WAF到AKS前置的应用网关/CDN资源：
  • 配置自定义规则直接拦截特征明确的探测路径，例如/.env、/.git、/phpmyadmin、/admin等非业务路径，直接丢弃请求无需返回响应
  • 开启速率限制规则，单IP 1分钟内请求超过业务正常阈值（可按实际业务情况调整，通常设置为100-500次）直接拉黑1-24小时
• 开启Azure自带恶意IP库拦截：绑定Azure Front Door作为统一接入入口，直接过滤全球已知的扫描、探测、爬虫恶意IP段，无需自行维护黑名单
• 地理IP封禁：如果业务仅服务特定国家/地区，直接在边缘层配置访问控制，仅允许目标地区IP访问，非目标地区流量直接拦截

2. AKS集群入口层拦截（流量不进入后端业务Pod） #

• 给Ingress组件配置自定义拦截规则：
  • 开启Ingress Nginx的modsecurity模块，加载OWASP核心规则集，自动拦截常见的漏洞扫描、注入探测行为
  • 新增Ingress ConfigMap自定义规则，匹配探测请求的UA、路径特征直接拒绝，配置示例：

    # 拦截常见探测工具UA
    if ($http_user_agent ~* (nmap|sqlmap|xray|masscan|go-http-client) ) {
        return 444;
    }
    # 拦截非业务路径探测
    location ~* (\.env|\.git|\.svn|phpmyadmin|wp-admin|backup) {
        deny all;
        return 444;
    }
    

• 配置Kubernetes NetworkPolicy：仅允许边缘层负载均衡/应用网关的IP段访问集群内的Ingress Pod、业务Pod，禁止公网IP直接访问集群资源

3. 节点层兜底拦截（异常流量不消耗节点核心资源） #

• 配置AKS节点NSG（网络安全组）入站规则：仅允许Azure官方健康探测IP、边缘层转发IP段访问节点的80、443等业务端口，其他公网IP访问节点端口的流量直接丢弃
• 节点部署fail2ban工具：自动检测节点层面的异常访问日志，单IP短时间内多次发送探测请求自动拉黑对应IP段

优化建议 #

• 按周导出Ingress访问日志做特征分析，及时补充新的拦截规则，新出现的探测特征可在1小时内同步到WAF、Ingress规则中
• 对外提供的API接口添加请求签名校验，无有效签名的请求直接在入口层拦截

内容的提问来源于stack exchange，提问作者abs