Zalenium Grid容器访问应用时部分返回Nginx 403 Forbidden问题排查

这种部分容器正常、部分报403的情况，大概率不是全局白名单配置的问题，而是容器实际出口IP和你预期的K8s节点IP不匹配，或者Ingress的白名单逻辑有细节没覆盖到。我给你梳理几个实用的排查和解决方向：

1. 先抓准异常容器的实际请求来源IP #

• 进入那两个报错的Zalenium容器，执行curl -v <你的应用URL>，同时去查看Ingress对应的Nginx日志（比如用kubectl logs <nginx-ingress-pod-name> -n <ingress-namespace>），重点看日志里记录的请求来源IP是什么——这个IP才是Ingress实际判断的来源，对比一下是不是在你加的白名单里。
• 很多时候K8s环境里的容器，出口IP不一定是节点的IP：比如用了特殊CNI插件、容器走了自定义网络，或者节点有多个IP（内网/公网），容器实际用的是你没加进白名单的那个IP。

2. 检查Zalenium容器的网络模式 #

• 先确认异常容器的网络配置：用docker inspect <zalenium-container-id>查看NetworkSettings字段，重点看Gateway和IPAddress，确认容器的出口路径。
• 如果是在K8s节点上直接跑的Docker容器（不是K8s Pod），默认bridge模式下容器会通过节点NAT出口，IP应该是节点IP，但如果是host模式或者自定义网络，出口IP可能完全不同；如果是K8s部署的Zalenium Pod，那出口IP要看Pod的网络配置，比如是否用了hostNetwork: true，或者Service的转发规则。

3. 验证Ingress白名单的匹配逻辑 #

• 如果你用的是Nginx Ingress的nginx.ingress.kubernetes.io/whitelist-source-range注解，要确认配置的是CIDR格式（比如10.0.0.0/24）而不是单个IP？或者是不是漏加了异常容器所在节点的IP？
• 另外，有些Ingress控制器会优先用X-Forwarded-For头里的IP作为来源判断，如果你的应用前面还有其他反向代理，要检查Ingress的use-forwarded-headers配置，确保白名单判断的是容器的真实出口IP，而不是中间代理的IP。

4. 测试节点本身的访问能力 #

• 直接在异常容器所在的K8s节点上执行curl <应用URL>：
  • 如果节点访问也报403，那说明这个节点的IP确实不在白名单里，或者白名单配置有误；
  • 如果节点能正常访问，但容器不能，那就是容器自身的网络配置问题（比如代理、路由规则）。

5. 排查Zalenium的特殊配置 #

• 检查正常和异常容器的启动参数，看看异常容器是不是加了--proxy-server之类的代理配置？如果容器走了代理，那Ingress看到的来源IP就是代理的IP，而不是节点IP，自然会触发403。

总结 #

核心思路就是：找到异常容器请求应用时的实际来源IP，然后确认这个IP是否被Ingress的白名单包含。大部分情况都是因为容器出口IP和你预期的节点IP不一致，导致白名单没命中。

内容的提问来源于stack exchange，提问作者Avi