Author: pcman

EKS动手实验合集请参考这里。

EKS 1.27版本 @2023-06 AWS Global区域测试通过

一、背景

1、没有EKS而是使用EC2场景下获取客户端真实IP地址

在之前的文章主要是介绍ELB+EC2模式下，获取客户端真实IP，可参考AWS官方知识库这篇文章。也可参考过往的blog文章的这篇文章。

在这两篇中，主要讲解是ELB+EC2场景获取真实IP地址。如果用一个表格快速概括的话，汇总如下：

GWLB in single VPC Quickstart CloudFormation Template

一、架构说明

1、GWLB简介

关于AWS GWLB，之前构建过一个结合Transit Gateway的多VPC的GWLB方案，也就是所谓的集中式。集中式是指应用系统所在的VPC是没有GWLB Endpoint的，流量是通过Transit Gateway汇集到一个统一的VPC做流量检查。

本次构建的quickstart则是一个分布式检测架构。所谓分布式，是指整个架构不包含Transit Gateway，而应用系统VPC本身是包含GWLB Endpoint。未来增加第二个、第三个VPC时候，每个VPC都带有自己的GWLB Endpoint。所以这个架构，在只有一个VPC时候，看起来是Single VPC。如果有多个VPC，就是分布式流量检查架构。

本模版是针对是特定场景下的需求，如果是全新设计，建议按照GWLB最佳实践的架构进行组网。

本方案构建一个单VPC的网络检测方案。本文代码参考Github这里。

一、背景

1、NAT的长链接的局限

AWS云上的NAT/NLB/GWLB在针对长连接的场景上，存在350秒闲置超时的物理机制，且这是一个硬限制，无法通过开case提升limit的办法修改。这一限制的官方文档描述参考如下：NAT ，NLB ，GWLB 。

为了解决这一限制问题，需要同时在OS层、应用成打开keepalive设置，并且需要在服务器端和客户端分别配置。

在某些业务场景下，可能需要限制特定国家访问，由此可借助Route 53的按地域解析功能，也可以使用WAF的GEO规则屏蔽特定国家，或者使用CloudFront的按地区屏蔽功能。如果需要查询和确认分配给中国的IP V4地址，可使用如下方法。

一、背景

1、Route 53不支持根域名配置CNAME

在使用Route53提供DNS服务时候，在为根域名提供解析的场景下，有一些局限，例如根域名是不能设置cname的。为了进一步理解，我们举例如下：

一、背景

1、使用单一域名按国家解析的挑战

有的客户希望在国内和海外采用单一域名运行，例如将域名部署在AWS全球的Route53服务上，并设置按照不同国家解析到不同Region的记录。此时，由于域名解析完全位于海外的DNS，国内的解析效果可能较差，存在解析不出来、同步延迟大等问题。如果由此将域名解析完全部署在中国区的Route53服务上，对国内用户体验良好，但是对海外用户又有解析失败概率提高的可能。

由此可采取授权子域名解析的办法。请看如下详细解释。