Cloudflare + Ingress + 自签名证书实现域名代理与流量限制

个人测试环境没有创建负载均衡（使用云厂商的负载均衡会产生额外的费用），直接 A 记录指向了 Kubernetes Ingress 所在的服务器地址。

在服务器对应的网络安全组删除所有 0.0.0.0/0 的入站规则，只配置 Cloudflare 出口地址：

2.创建 Cloudflare 源证书

Cloudflare 和源服务器之间的 TLS 证书，可以用 openssl 等工具生成。

这里我们使用最简单的方式，让 Cloudflare 帮我们生成：

下载证书到服务器中，然后创建 secret：

kubectl -n drone create secret tls cloudflare-origin-tls --cert=origin.crt --key=origin.key

kubectl -n drone get secret | grep cloud

cloudflare-origin-tls kubernetes.io/tls 2 22s

3.配置 Ingress 使用新的 secret

修改之前的 yaml 文件：

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: drone-ingress
  namespace: drone
annotations:
  nginx.ingress.kubernetes.io/backend-protocol: "HTTP"
  nginx.ingress.kubernetes.io/ssl-redirect: "true"
  #cert-manager.io/cluster-issuer: "letsencrypt-prod"
spec:
  ingressClassName: nginx
  tls:
  - hosts:
    - drone.fzwtest.xyz
    secretName: cloudflare-origin-tls
  rules:
  - host: drone.fzwtest.xyz
    http:
      paths:
      - path: /
        pathType: Prefix
        backend:
          service:
            name: drone-server
            port:
              number: 80

执行部署：

kubectl apply -f drone-ingress.yaml

4.配置 Cloudflare 的 SSL/TLS 加密模式

5.启用 HTTP 重定向 HTTPS

6.配置访问速率限制

这里设置一个最简单的规则：同一个 IP 来源对域名的访问每 10 秒钟最多 10 次，超过限制后阻止它的访问请求 10 秒钟。

7.配置国家地区访问限制

我们对互联网开放任何网站，运行一段时间后，总会发现来自国外地区 IP 的攻击行为，如下图所示的恶意扫描和流量消耗：

由于我们是个人测试演示的网站，直接简单的禁止国外地区访问即可：

五.验证

现在访问 http://drone.fzwtest.xyz（前面的文章我们用 Cert Manager 代理过的域名）。验证是否达到预期。

1. Cloudflare 拦截了请求，并返回 301 跳转 https 给客户端；

2. 客户端看到的 Server 地址是 Cloudflare 的地址，隐藏了真实的服务器地址；

3. 显示受信任的 Cloudflare 边缘证书；

4. 多次快速刷新页面，出现访问频率限制；

等待 10 秒后解除拦截：

5. 国外 IP 访问我们的网站直接被阻止：

其他子域名只需要修改对应的 Kubernetes Ingress 即可，非常简单高效。