Kubernetes集群访问SQL Server的节点IP白名单替代方案咨询

现有部署在普通云VPS的SQL Server，以及DigitalOcean托管Kubernetes集群，SQL Server防火墙仅对白名单IP开放，目前需要手动添加所有K8s节点IP到白名单才能正常连通，该方案扩展性差，新增节点需要手动维护规则，同时不接受直接放开SQL Server公网访问仅靠账号密码认证的方案，寻求通用解决方案。

以下是业界解决这类跨环境数据库访问问题的通用方案：

• 方案1：绑定NAT网关统一出口IP（最适配当前DO K8s场景，优先推荐）
  你使用的是DigitalOcean官方托管K8s服务，直接给集群节点池绑定DO的公网NAT网关即可，配置完成后集群所有节点的出站公网流量都会统一走NAT网关的固定公网IP。你只需要将这一个固定IP加入SQL Server的防火墙白名单即可，后续新增/删除节点完全不需要调整白名单规则，不需要改动任何业务代码和SQL Server配置，运维成本极低。
• 方案2：带身份认证的TCP反向代理
  在SQL Server所在的VPS（或同网段低配置辅助机器）部署HAProxy或Nginx stream模块做TCP反向代理，监听SQL Server的1433端口，请求验证通过后转发到本地SQL Server。安全层可做两层防护：
  • 第一层：可先在代理前端防火墙放行DO K8s集群的公网出口CIDR段，拦截大部分非法请求
  • 第二层：配置mTLS双向认证，要求所有来自K8s的连接必须携带指定客户端证书，代理校验证书合法后才转发流量，即使代理端口对公网开放，无合法证书的请求也无法建立连接，安全性远高于仅靠数据库账号密码认证
    该方案通用性强，不限制SQL Server所在VPS的服务商，适配所有场景。
• 方案3：私有网络打通（安全性最高）
  如果你的SQL Server VPS也部署在DigitalOcean，直接将K8s集群和SQL Server VPS加入同一个VPC私有网络，SQL Server防火墙仅放行VPC内K8s的子网段即可，完全不对外暴露公网端口。如果SQL Server部署在其他云厂商，可通过IPsec VPN隧道将DO K8s的私有网络和SQL Server所在的私有网络打通，全程流量走加密隧道，公网完全不可见SQL Server端口。
• 方案4：SQL Server启用证书认证
  直接开启SQL Server的强制TLS加密，同时配置客户端证书白名单，仅允许持有指定证书的客户端发起连接。该场景下可以放开SQL Server的公网端口限制，无合法证书的请求无法完成TLS握手，根本到不了数据库身份验证环节，安全性有保障。需要注意K8s侧要通过Secret管理客户端证书，定期做好证书轮换。

如果没有特殊的安全合规要求，优先选择方案1，5分钟即可在DO控制台完成配置，业务零侵入，运维成本最低。如果你的SQL Server不在DO机房，优先选择方案2，通用性强，安全等级可控。如果对数据安全要求极高，建议选择方案3，从网络层面彻底杜绝公网暴露风险。

内容的提问来源于stack exchange，提问作者Matster2