NGINX Gateway Fabric: AccessPolicy filtra il traffico per IP su Kubernetes

NGINX Gateway Fabric 2.8.0 aggiunge AccessPolicy, una risorsa Kubernetes che permette di bloccare o consentire client in base all'indirizzo IP o al range CIDR, direttamente su un Gateway o su una singola route. Per chi già usa questo controller per instradare il traffico verso un cluster, significa gestire il filtro IP nello stesso posto dove si gestiscono Gateway e route, senza scrivere snippet NGINX a mano.

La funzione è nuova nella versione 2.8.0 del progetto, che aggiunge AccessPolicy per configurare liste allow e deny che controllano il traffico in ingresso al Gateway per indirizzo IP o range CIDR del client. L'API è in v1alpha1, quindi i campi possono cambiare nelle versioni successive.

Come funziona

Ogni AccessPolicy è un elenco di regole, ciascuna con un IP o un CIDR. Il campo action decide se l'elenco è una lista di blocco (Deny) o di permesso (Allow). La policy si collega a un Gateway, un HTTPRoute o un GRPCRoute nello stesso namespace: una policy sul Gateway si applica a tutte le route collegate, una policy sulla route vale solo per quella.

Il motore traduce tutto in direttive NGINX native: NGINX Gateway Fabric le trasforma in direttive allow e deny, e una richiesta bloccata riceve una risposta 403 Forbidden. Una regola allow rifiuta qualunque richiesta che non corrisponda a uno degli indirizzi elencati.

Quando sia il Gateway sia la route hanno una policy, le regole si combinano secondo questa logica:

Gateway	Route	Risultato sulla route
Deny	Deny	Entrambi i set di regole Deny
Deny	Allow	Il Deny del Gateway prevale, poi si applica l'allowlist della route
Allow	Deny	Il Deny della route prevale, poi si applica l'allowlist del Gateway
Allow	nessuna	Vale l'allowlist del Gateway
nessuna	Allow	Vale l'allowlist della route
Allow	Allow	Solo gli indirizzi presenti in entrambe le liste

Una route non può riaprire un indirizzo bloccato dal Gateway, nemmeno con una regola Allow che lo includa. Per questo un team di piattaforma può fissare il limite esterno sul Gateway e lasciare che ogni team applicativo lo restringa per le proprie route.

Requisiti e versioni

NGINX Gateway Fabric 2.8.0 è stato pubblicato il 14 ottobre 2026 sul repository GitHub del progetto e include oltre 35 correzioni e miglioramenti di stabilità oltre ad AccessPolicy. La versione richiede Kubernetes 1.32 o successivo, Gateway API 1.6.3 e NGINX OSS 1.31.7; per chi usa NGINX Plus la versione di riferimento è R37.2.

Per chi ha il traffico dietro un load balancer o un proxy, AccessPolicy confronta le regole con l'IP del client ricevuto da NGINX: per far corrispondere l'IP originale e non quello del proxy va configurato rewriteClientIP sulla risorsa NginxProxy.

Documentazione completa e manifest di esempio sono sulla guida ufficiale AccessPolicy nel sito docs.nginx.com.