在EKS上使用Istio时，如何在创建的安全组规则中限制IP？

Question

我只是在EKS上设置了Istio。我注意到网关控制器（我应该叫它吗？）创建一个ELB和相应的安全组，该安全组允许在几个不同端口上的传入流量：

现在，所有这些规则都允许来自任何地方（0.0.0.0/0）的流量，但是我希望能够将其限制在我的VPN服务器上。是否可以（理想地）指定安全组ID或这些规则的至少IP？

Answer 1

有一种方法可以在通过Helm安装/升级Istio期间为默认Istio的Ingress Gateway的入站规则指定源IP。

您可以通过调整与istio-ingressgateway窗格关联的Service对象类型的默认值来实现它：

这是我通过Helm安装的方式：

1. 使用--set选项使用头盔安装以覆盖默认值（此处为“ gateways”子图的默认值）：

 $ helm install install/kubernetes/helm/istio --name istio-maxi --namespace istio-system \
  --set gateways.istio-ingressgateway.loadBalancerSourceRanges=143.231.0.0/16

1. 以下是由此产生的ELB入站规则 在AWS控制台中看到的Istio Ingress Gateway：

重要提示：

loadBalancerSourceRanges字段目前仍处于Istio舵图的预发布状态（1.1.0-snapshot.5）