Kubernetes: Tomcat выдает исключение при включении прокси-протокола

Question

Я как бы заблудился прямо сейчас. Я настроил кластер Kubernetes, развернул Spring Boot API и LoadBalancer, которые работали нормально. Теперь я хочу включить протокол прокси на LoadBalancer, чтобы сохранить IP-адрес реального клиента, но как только я это сделаю, мой Spring Boot API всегда возвращается с 400 Bad Request и IllegalArgumentException брошен.

Вот короткая трассировка стека (я замаскировал IP-адреса):

2020-09-29 20:05:58.382  INFO 1 --- [nio-8080-exec-1] o.apache.coyote.http11.Http11Processor   : Error parsing HTTP request header
 Note: further occurrences of HTTP request parsing errors will be logged at DEBUG level.

java.lang.IllegalArgumentException: Invalid character found in the HTTP protocol [255.255.255.253 255.255.255.254]
        at org.apache.coyote.http11.Http11InputBuffer.parseRequestLine(Http11InputBuffer.java:560) ~[tomcat-embed-core-9.0.37.jar!/:9.0.37]
        at org.apache.coyote.http11.Http11Processor.service(Http11Processor.java:260) ~[tomcat-embed-core-9.0.37.jar!/:9.0.37]
        at org.apache.coyote.AbstractProcessorLight.process(AbstractProcessorLight.java:65) ~[tomcat-embed-core-9.0.37.jar!/:9.0.37]
        at org.apache.coyote.AbstractProtocol$ConnectionHandler.process(AbstractProtocol.java:868) ~[tomcat-embed-core-9.0.37.jar!/:9.0.37]
        at org.apache.tomcat.util.net.NioEndpoint$SocketProcessor.doRun(NioEndpoint.java:1589) ~[tomcat-embed-core-9.0.37.jar!/:9.0.37]
        at org.apache.tomcat.util.net.SocketProcessorBase.run(SocketProcessorBase.java:49) ~[tomcat-embed-core-9.0.37.jar!/:9.0.37]
        at java.base/java.util.concurrent.ThreadPoolExecutor.runWorker(Unknown Source) ~[na:na]
        at java.base/java.util.concurrent.ThreadPoolExecutor$Worker.run(Unknown Source) ~[na:na]
        at org.apache.tomcat.util.threads.TaskThread$WrappingRunnable.run(TaskThread.java:61) ~[tomcat-embed-core-9.0.37.jar!/:9.0.37]
        at java.base/java.lang.Thread.run(Unknown Source) ~[na:na]

Я использую https://github.com/hetznercloud/hcloud-cloud-controller-manager от Hetzner.

Вот мой LoadBalancer:

apiVersion: v1
kind: Service
metadata:
  labels:
    service: auth-service
  name: auth-service-service
  annotations:
    load-balancer.hetzner.cloud/name: "lb-backend"
    load-balancer.hetzner.cloud/health-check-port: "80"
    load-balancer.hetzner.cloud/uses-proxyprotocol: "true"
spec:
  ports:
    - name: http
      port: 80
      targetPort: 8080
  selector:
    service: auth-service
  externalTrafficPolicy: Local
  type: LoadBalancer

Вот моя весенняя конфигурация:

spring:
  datasource:
    platform: postgres
    url: ${DATABASE_CS}
    username: ${DATABASE_USERNAME}
    password: ${DATABASE_PASSWORD}
    driver-class-name: org.postgresql.Driver
  flyway:
    schemas: authservice
  jpa:
    show-sql: false
    properties:
      hibernate:
        dialect: org.hibernate.dialect.PostgreSQLDialect
        jdbc:
          lob:
            non_contextual_creation: true
    hibernate:
      ddl-auto: validate

security:
  jwt:
    secret-key: ${JWT_SECRET_KEY}
    expires: ${JWT_EXPIRES:300000}

mail:
  from: ${MAIL_FROM}
  fromName: ${MAIL_FROM_NAME}
  smtp:
    host: ${SMTP_HOST}
    username: ${SMTP_USERNAME}
    password: ${SMTP_PASSWORD}
    port: ${SMTP_PORT:25}
  mjml:
    app-id: ${MJML_APP_ID}
    app-secret: ${MJML_SECRET_KEY}
stripe:
  keys:
    secret: ${STRIPE_SECRET_KEY}
    public: ${STRIPE_PUBLIC_KEY}
server:
  forward-headers-strategy: native

Как вы могли заметить, я уже пытался включить форвардные заголовки на основе этой проблемы.

Спасибо за вашу помощь!

Answer 1

Вы включили протокол PROXY, который не является HTTP, а представляет собой другой протокол для туннелирования TCP-соединений с подчиненными серверами, сохраняя как можно больше информации. https://www.haproxy.org/download/1.8/doc/proxy-protocol.txt

Я совершенно уверен, что вы хотите отключить этоload-balancer.hetzner.cloud/uses-proxyprotocol: "true"и вместо этого полагайтесь на заголовки пересылки для удаленного адреса с правильным значением для клиента.

Если честно, я не знаю, что tomcat поддерживает протокол PROXY. (Изменить: в настоящее время нет, см. https://bz.apache.org/bugzilla/show_bug.cgi?id=57830)