出口IP地址选择

Question

我们正在运行一个SaaS服务，我们希望将其迁移到Kubernetes，最好是在其中一个超标量上。我还没有找到干净的解决方案的一个具体问题是，需要从应用程序中选择出口IP地址。

我们与大量的上游提供商打交道，这些提供商基于源IP地址进行访问控制和速率限制。此外，我们的一部分客户正在使用他们自己的帐户与一些上游供应商。要在上游提供商的帐户上下文中访问它们，我们需要从应用程序内部控制用于连接的源IP。

我们目前在负载均衡器后面的DMZ中运行我们的服务，因此直接选择网络接口已经是不可能的。我们在负载均衡器/网关上使用一些iptables规则来根据映射的端口号进行地址选择。(例如，到端口1081的出口连接映射到源地址B和目标端口80，端口1082映射到源地址C端口80)

然而，这是一个相当脆弱的设置，在尝试迁移到更标准化的*aaS产品时也不能很好地映射。

寻找更好的设置建议。

Answer 1

可以帮助你解决这个问题的一件事是Istio Egress Gateway，所以我建议你去研究一下。

否则，它仍然依赖于特定的平台和部署集群的方式。例如，在亚马逊网络服务上，您可以通过使用分配了弹性it的实例来转发流量(可以是常规EC2s或亚马逊网络服务NAT网关)，从而确保您的出口流量始终来自预定义的已知it集。即使有了上面的Egress，你也需要一些方法来定义一个固定的IP，所以亚马逊网络服务ElasticIP (或等效的)是必须的。