将入站流量限制为CloudFoundry上的应用程序

Question

可以使用应用程序安全组来限制来自运行在CloudFoundry上的应用程序的出站通信量。详细信息在这里：https://docs.cloudfoundry.org/concepts/asg.html

假设我希望应用程序只对某个IP地址可见--换句话说，将入站流量限制在特定的IP地址。我想这可以通过自定义路由服务来实现，并将其绑定到我的应用程序的路由。但还有更简单的方法吗？

我想通常的方法是使用API网关？

Answer 1

就像你提到的，路线服务是一种可能性。另一种方法是在应用程序中处理这个问题。您是如何做到这一点的，这取决于所使用的构建包/语言。

Java的一个例子是使用由buildpack安装的Tomcat来限制IP的访问。你可以用远程地址过滤器来做这件事。如果使用Spring，则可以使用它提供的嵌入式Tomcat进行类似的操作。

如果使用Apache，可以使用Require ip 10.10.10.10强制执行该要求。类似地，对于Nginx，您可以使用allow 10.10.10.10;和deny all;。

对于其他语言和框架，请查看文档以了解如何根据传入的IP进行限制。需要考虑的唯一复杂因素是，在Cloud上，您的应用程序位于代理之后，所以应用程序看到的远程IP地址将不是实际客户端的远程IP。它将驻留在x-forwarded-for头中。在上面的示例中，Tomcat、Nginx和HTTPD为您解析了这个报头，但是根据您的应用程序和框架，您可能需要手动查看这个报头才能获得正确的IP。

以上假设您希望IP拒绝在应用程序级别上是特定的和可自定义的。如果你试图在整个基础上应用更广泛的规则，在流量到达应用程序甚至是基础之前应用这些限制就更有意义了。也许您可以使用防火墙在您的基础前面，或在外部负载平衡器，接受流量为您的基础。显然，这都取决于基础设施之外的基础设施。

希望这能帮上忙！