GKE环境外部负载均衡器流量拦截开源Kubernetes方案咨询

方案1：开源Nginx + 开源IP地理库组合 #

• 适配优势：无需更换现有Nginx负载均衡架构，完全开源无付费组件依赖
• 实现逻辑：用开源离线IP库ip2location-lite替代不可用的MaxMind Lite，配合开源版Nginx的ngx_http_geoip2_module模块实现地理区域过滤、IP黑白名单等访问控制能力
• 部署形态：可直接集成到你现有Nginx负载均衡的Deployment中，也可单独封装为全局前置代理Deployment，所有外部流量先经过代理层过滤后再转发到后端服务

方案2：Calico全局网络策略 + 流量代理DaemonSet #

• 适配优势：完全基于K8s原生能力实现，不依赖GKE原生Ingress/Cloud Armor服务，管控规则作用于集群全局
• 实现逻辑：
  1. 启用GKE支持的Calico CNI，通过Calico全局网络策略实现基础的IP段、端口、协议维度的流量拦截
  2. 在集群所有节点部署流量代理DaemonSet作为外部流量统一入口，代理层内置自定义访问规则，所有上层负载均衡的流量必须经过DaemonSet代理后才会进入集群内部服务链路
• 部署优势：DaemonSet和节点绑定，资源利用率高，规则更新可全局同步，无需调整上层负载均衡配置

方案3：开源API网关全局代理 #

• 适配优势：除基础访问限制外，可扩展支持限流、熔断、认证等后续流量管控需求
• 实现逻辑：部署开源APISIX/Kong作为全局流量代理Deployment，前端对接你现有外部负载均衡，网关层内置IP地理过滤、请求特征拦截、黑白名单等开箱可用的访问控制能力，所有流量经过网关过滤后转发到后端服务

内容的提问来源于stack exchange，提问作者Idan