出口 IP 地址选择

Question

我们正在运行一项 SaaS 服务，我们希望将其迁移到 Kubernetes，最好是在其中一个超标量上。我还没有找到一个干净的解决方案的一个具体问题是需要从应用程序中选择 Egress IP 地址。

我们与大量基于源 IP 地址进行访问控制和速率限制的上游提供商打交道。我们的一部分客户也在使用他们自己的一些上游供应商的账户。要在其帐户的上下文中访问上游提供商，我们需要在应用程序内控制用于连接的源 IP。

我们目前在负载均衡器后面的 DMZ 中运行我们的服务，因此直接选择网络接口已经不可能。我们在负载均衡器/网关上使用一些 iptables 规则来根据映射的端口号进行地址选择。 （例如，到端口 1081 的出口连接映射到源地址 B 和目标端口 80，端口 1082 到源地址 C 端口 80）

然而，这是一个相当脆弱的设置，在尝试迁移到更标准化的 *aaS 产品时也不能很好地映射。

寻找更好的设置建议。

Answer 1

Istio Egress Gateway 可以帮助您解决这个问题，所以我建议您研究一下。

否则，它仍然依赖于特定平台和部署集群的方式。例如，在 AWS 上，您可以通过使用分配有弹性 IP 的实例（无论是常规 EC2 还是 AWS NAT 网关）来确保您的出口流量始终来自预定义的已知 IP 集。即使使用上面的 Egress，您也需要一些方法来为此定义一个固定 IP，因此 AWS ElasticIP（或等效的）是必须的。