客户端真实源IP地址可以用于分析网站流量和用户行为。通过分析来源IP地址，可以了解用户的地理位置、浏览器偏好和其他用户行为指标。这些数据可以用于优化网站设计、定位目标受众和改善用户体验。

在容器化场景下，客户端和容器服务端之间可能存在多种代理服务器，外部请求在经过多次转发后，容器中服务无法获取到客户端真实源IP。

场景介绍

不同请求类型，获取客户端真实IP说明如下：

类型	说明
HTTP/HTTPS请求	通过在ELB监听器开启X-Forwarded-For，业务应用可以通过X-Forwarded-For头部提取到源地址，从而获得客户端真实IP。
TCP请求	通过在后端主机配置TOA插件获取客户端的真实源IP地址。TOA是操作系统的内核模块，需要在ELB后端主机中安装TOA插件，以实现后端主机可获取客户端真实源IP地址的目的。

对于HTTP/HTTPS请求，具体实现分为以下两类：

服务类型	说明
负载均衡	ELB访问方式，是通过弹性负载均衡ELB产品来实现负载均衡。通过创建LoadBalancer SVC时，指定注解方式开启X-Forwarded-For。当通过ELB访问工作负载时，可以通过X-Forwarded-For头部提取到源地址。
节点端口（NodePort）	NodePort访问方式，是将容器端口映射到节点端口，实现获取客户端源IP有以下方式： 当配置SVC外部流量策略为Local时，表示请求不经过转发，可以获取客户端源ip； 当配置SVC外部流量策略为Cluster时，需要通过手动创建监听器及后端主机组，开启X-Forwarded-For实现。

前提条件

已创建工作负载，确认容器内服务端口

已创建负载均衡器，可参考：创建负载均衡器

集群组件ccse-cloud-controller-manager（命名空间kube-system下）版本需大于等于v1.0.4，版本可通过查看组件使用的镜像确认

HTTP/HTTPS请求获取客户端真实源IP地址

负载均衡SVC

SVC创建

• 登录“云容器引擎”管理控制台；
• 在集群列表页点击进入指定集群；
• 进入主菜单**“网络”-“服务”，点击”创建服务“**，进入创建页，进行以下配置：

配置项	说明
类型	选择"负载均衡"
负载均衡	选择已建负载均衡器名称
注解	1、点击“添加注解” 2、注解类型选择“天翼云注解”，注解名称选择“service.beta.kubernetes.io/ctyun-loadbalancer-xforwardedfor”，值为“true”，点击“添加” 3、注解类型选择“天翼云注解”，注解名称选择“service.beta.kubernetes.io/ctyun-loadbalancer-protocol-port”，值为“{PORTOCOL}:{PORT}”，点击“添加” 4、如果是https监听，需要添加指定https证书的注解，注解类型选择“天翼云注解”，注册名称选择“service.beta.kubernetes.io/ctyun-loadbalancer-ssl-cert”,值为https证书的id，点击添加
端口映射	1、填入正确的工作负载容器内端口 2、服务端口填入上一步注解中定义的监听器端口，比如这里配置为88
工作负载绑定	选择需要获取客户端真实ip的工作负载类型、名称

说明
{PROTOCOL}:{PORT}中，PROTOCOL为监听协议，值为http或https；PORT为负载均衡监听器端口，填入一个当前负载均衡器可用端口，比如http:88；https证书的id可从天翼云负载均衡控制台证书列表中获取

• 配置完成后，点击“提交”
  

  

  

• 负载均衡SVC创建完成后，到负载均衡控制台，选择指定负载均衡器，查看详情如下：

	说明
监听器	监听器会新增一条HTTP_88的记录，并已开启“通过X-Forwarded-For获取客户端IP”
后端主机组	后端主机组新增关联监听器HTTP_88的记录

访问验证

以工作负载为nginx为例：

• 进入负载详情，查看pod日志，打开自动刷新；
• 本地请求访问工作负载，比如http://117.88..:88/
• 查看pod日志，从nginx access.log可以看到请求记录，下面124.127.58.**即为本机ip地址，可获取客户端真实ip

192.168.0.17 - - [08/Apr/2024:06:30:14 +0000] "GET / HTTP/1.1" 304 0 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/121.0.0.0 Safari/537.36" "124.127.58.**"

节点端口（NodePort）SVC

当选择服务类型为“节点端口”，即NodePort类型SVC，有以下两种获取客户端源IP方式：

1. 配置SVC外部流量策略，即Service的spec.externalTrafficPolicy，配置为Local。
   该方式下外部请求就只会被代理到本地 endpoints 而不会被转发到其它节点，这样就保留了原来的IP 地址。
2. 该模式下客户端只能访问pod所在的node节点，无法使用其他node节点访问服务。
3. 配置SVC外部流量策略仍为Cluster，创建SVC之后，需要在负载均衡器中手动创建监听器及后端主机组，后端主机组配置为容器节点及端口。

注意
cubecni不支持外部流量策略为Local模式

说明
该模式下客户端只能访问pod所在的node节点，无法使用其他node节点访问服务

方式一：外部流量策略为Local

创建服务时，选择类型为“节点端口”，外部流量策略为Local：

创建完成后，通过http://{NodeIP}:32767请求工作负载，从nginx access.log可以看到请求记录，下面192.168.0.6即为内网ip地址，可获取客户端真实ip：

192.168.0.6 - - [08/Apr/2024:07:31:25 +0000] "GET / HTTP/1.1" 200 615 "-" "curl/7.79.1" "-"

方式二：外部流量策略为Cluster、手动配置负载均衡

1、创建服务时，选择类型为“节点端口”，外部流量策略为Cluster：

2、进入“负载均衡”控制台，创建负载均衡器或者选择已有负载均衡实例，进行以下操作：

• 点击“添加监听器”，选择协议端口为HTTP类型，填入端口号；打开下方“获取客户端IP”开关：

• 点击进入下一步，这里定义后端主机组名称：

• 配置完成，点击“创建”；
• 进入上一步创建的后端主机组，点击“添加主机”，选择主机为容器集群节点：

• 点击“下一步”，配置主机端口为步骤1中SVC配置端口，配置权重：

• 点击“确定”，完成主机添加。

3、访问验证

• 本地请求访问工作负载，比如http://117.88..:8088/

• 查看pod日志，从nginx access.log可以看到请求记录，下面124.127.58.**即为本机ip地址，可获取客户端真实ip：

  192.168.0.17 - - [08/Apr/2024:07:30:14 +0000] "GET / HTTP/1.1" 304 0 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/121.0.0.0 Safari/537.36" "124.127.58.**"
  

TCP请求获取客户端真实源IP地址

针对TCP请求，可以通过在后端主机配置TOA插件获取客户端的真实源IP地址，详情可参见：TCP请求获取客户端真实源IP地址