容器里跑业务想接入高防，核心思路不是把高防当“入口网关”硬塞进集群，而是把高防部署在容器集群的“流量入口”前面，通过SLB和代理层完成流量清洗与转发，同时用TOA方案解决回源真实IP问题。
这个结论来自过去几年大量容器化改造项目的实际运维反馈,传统裸机时代的“改DNS-换IP-等生效”三步走，在容器环境里会碰到新问题：Pod IP是动态的，扩缩容随时发生，Service和Ingress层又挡了一道，高防回源配置跟不上业务的弹性变化，下面从接入模式、配置步骤、真实IP保留三个维度拆开讲。
容器环境接入高防的常见模式
容器集群的流量路径和传统物理机有本质区别,物理机时代，业务IP就是服务器IP，高防把流量洗干净后直接回源到业务IP即可，容器环境下，业务IP藏在集群内部，外部流量要先经过SLB（负载均衡）、Ingress Controller，再转发到具体Pod，高防要接进来，必须适配这条链路。
业内专家指出,目前生产环境里最稳定的接入模式是“高防IP+SLB前置”架构，高防IP作为流量入口，清洗后的流量回源到SLB的公网IP，SLB再转发到后端Ingress网关或业务Service，这套模式兼容性最强，无论底层是自建K8s还是云托管集群都能用。
多数情况下,接入模式的选型取决于你对业务割接窗口的容忍度，如果允许短暂停机，直接改DNS解析到高防IP，回源地址指向SLB，完成，如果要求零感知切换，就得用高防的“流量牵引”能力，把原本打到SLB的流量先引到高防清洗，再原路返回，这个操作对用户完全透明。
高防回源IP配置怎么做
回源IP填写哪里,是容器环境接入高防时第一个让人纠结的地方，很多人的惯性思维是填写Pod所在节点的IP，这是个误区，Pod一重启IP就变了，高防侧的回源白名单也要跟着改，运维起来非常被动。
正确的做法是把回源IP配置为SLB的公网IP，流量路径变成了：用户->高防IP->SLB->Ingress Gateway->Pod，高防只认SLB，SLB负责和集群内部的动态拓扑打交道，这样无论Pod怎么漂移，高防侧的回源配置都不需要变动。
具体配置路径如下：
- 在SLB控制台解绑当前公网IP,或新建一个SLB实例用于接收高防回源流量
- 在SLB监听规则里配置443/80端口转发，指向集群Ingress Controller对应的NodePort或LoadBalancer Service
- 在高防控制台添加转发规则,源站IP填SLB的公网地址，源站端口填7473（或你自定义的回源端口）
- 在高防的“回源白名单”里加入SLB公网IP，防止回源请求被自身高防策略误杀
- 把业务域名的DNS解析切到高防提供的CNAME或高防IP
这套配置只需要做一次,后续容器集群的扩缩容、Pod重建都不会影响高防链路。
容器接入高防后如何获取真实源IP
高防清洗后的流量回源时会经由高防节点转发,源IP被替换成高防的回源IP，如果业务日志、风控系统需要记录用户真实IP，这就成了问题，K8s环境里SLB本身也有转发行为，多层代理叠加后，真实IP获取难度进一步加大。
行业共识是使用TOA（TCP Option Address）方案解决，高防在回源封包里追加一个TCP Option字段，携带用户的真实IP，SLB和Nginx之间透传这个字段，业务侧通过内核模块或应用层解析拿到真实IP。
操作分三步：
| 层级 | 操作 | 说明 |
|---|---|---|
| 高防侧 | 开启“报文回源”或“TOA透传”开关 | 在接入配置的源站设置里勾选，启用后回源TCP包会带上用户真实IP的Option字段 |
| SLB侧 | 关闭SLB自身的“客户端地址转发”覆盖 | 避免SLB的X-Forwarded-For头覆盖掉高防写入的真实IP信息 |
| 业务侧 | 部署TOA内核模块或使用Nginx的real_ip模块解析 | 容器镜像里预装TOA模块，或在Ingress Nginx的ConfigMap里配置set_real_ip_from和real_ip_header |
以Ingress Nginx为例，在ConfigMap里加入：
set-real-ip-from: 0.0.0.0/0
real-ip-header: X-Forwarded-For
use-proxy-protocol: "false"业务Pod里获取到的用户请求头就能读到真实IP,如果用的是自研网关，需要在高防回源报文里启用Proxy Protocol，同样能实现真实源IP透传。
容器业务平滑切换高防的实操步骤
切换过程中最怕出现“流量黑洞”，容器环境因为链路层级多，一旦高防转发规则和SLB监听规则不匹配，或者安全组没放行回源端口，业务直接挂掉。
推荐的割接顺序：
- 先在高防控制台完成回源配置,回源IP指向SLB。
- 验证高防到SLB的回源链路：在高防控制台发起“连通性测试”，确认回源端口可达。
- 临时将业务域名解析到高防IP,观察5-10分钟，确认HTTP状态码、请求延迟、源IP获取均正常。
- 修改SLB的访问控制策略,只允许高防IP段访问，拒绝来自其他公网IP的直连流量，这一步防止业务被绕过高防直接访问源站。
- 全量切换DNS解析,完成割接。
容器环境里还有一个细节容易被忽略：SLB本身如果配置了健康检查，回源地址会被高防的IP段探测，需要提前拉白，否则SLB会把高防的探测请求判定为异常流量，把后端的Pod摘除，导致高防回源全部超时。
容器集群多地域部署时高防如何选择
业务规模大了之后,容器集群往往采用多地域部署，或是混合云架构，高防的接入点选择直接影响到跨地域的回源延迟。
价格维度上,高防产品基本按“保底带宽+弹性带宽”计费，保底部分按月固定付费，弹性部分按实际攻击峰值计费，容器环境因为链路多了一层SLB转发，推荐的保底带宽配置比传统物理机架构高出20%-30%，因为SLB本身也会消耗一定带宽资源，且有洪峰转发的性能损耗。
地域选择上,遵循一个原则：高防节点和SLB所在Region尽量同城或同地域，比如业务集群部署在华东，高防就选上海或杭州的BGP高防节点，跨地域回源会增加30-80ms的延迟，对接口类业务的影响尤其明显，如果容器集群同时覆盖国内和海外，建议使用高防CDN而非单点高防IP，利用CDN的边缘节点做流量清洗，回源到各区域的SLB。
如果预算有限,可以选择“按量付费+共享高防IP”的方式，多个非核心业务共享一个高防IP，每个业务在SLB层用不同的ServerName区分，攻击流量超过共享IP的保护能力时，再临时升级到独享高防，这个方案比较适合容器化改造初期的中小团队。
容器环境接入高防的典型问题和排查手段
接入完成后,运维排查还是得跟上，整理几个高频故障点：
- 高防控制台显示回源正常，但业务访问超时。 优先排查SLB安全组是否放行高防回源端口，特别是自建K8s集群的节点安全组，多数情况下是回源端口只放行了80/443，而高防回源使用的是自定义端口。
- 业务日志里拿不到用户IP，全是172网段的内网地址。 这是SLB的负载均衡模式导致的，经典网络的SLB默认做SNAT（源地址转换），需要把SLB的监听模式改为“透明转发”或用上面提到的TOA方案。
- 高防切换后WebSocket连接频繁断开。 检查高防转发规则的协议类型，WebSocket业务必须勾选TCP还是HTTP的完整协议转发，不能只检查HTTP头部，否则长连接会被高防的会话保持策略中断。
- QPS很高但CPU利用率上不去。 Pod水平自动扩缩容依赖HPA指标，而高防回源后SLB和Ingress各多一层转发，延迟采样周期变长，HPA触发会滞后，需要把HPA的指标采集周期调短，或者改用基于Ingress网关QPS的HPA策略。
容器接入高防常见问题解答
容器环境接入高防需要改业务代码吗？
不需要,高防工作在业务代码之外的网络链路上，只要在SLB和Ingress层把转发规则配置好，业务Pod内部的代码逻辑完全不受影响，唯一可能需要调整的是日志分析或风控场景下的真实IP解析逻辑，但这也是通过Nginx层配置解决的，不涉及应用代码改动。
高防清洗流量后，容器集群的公网入口还需要保留吗？
需要保留,但只对高防回源流量开放，SLB的公网IP就是高防的回源目标，所以不能直接删除，建议在SLB的访问控制里配置白名单，只允许高防的回源IP段访问，其余公网IP一律拒绝，防止攻击者探测到源站IP后绕过高防直连。
K8s集群在高防接入后的回源IP变化会影响SLB健康检查吗？
不影响,SLB健康检查是SLB主动探测后端节点，与高防回源流量无关，需要关注的是SLB自身的健康检查频率和阈值，容器环境中Pod重启频繁，如果健康检查判定时间过长，可能会导致部分Pod被摘除后流量集中到其他Pod，产生瞬时负载过高的问题，建议把健康检查的间隔设置为5秒、超时3秒、连续失败3次即判定不可用。