kubernetes（k8s）ingress tls和path的使用

TLS 認(rèn)證

在kubernetes（k8s）ingress-traefik部署 鏈接：http://www.itdecent.cn/p/0f5d38022281 中，我們使用的是http默認(rèn)的80端口，大部分場景下我們都會使用 https 來訪問我們的服務(wù)，現(xiàn)在我們將使用一個自簽名的證書，當(dāng)然如果有在一些正規(guī)機(jī)構(gòu)購買的 CA 證書是最好的，這樣任何人訪問你的服務(wù)的時候都是受瀏覽器信任的證書。使用下面的 openssl 命令生成 CA 證書：

$ openssl req -newkey rsa:2048 -nodes -keyout tls.key -x509 -days 365 -out tls.crt

現(xiàn)在有了證書，我們可以使用 kubectl 創(chuàng)建一個 secret 對象來存儲上面的證書：

$ kubectl create secret generic traefik-cert --from-file=tls.crt --from-file=tls.key -n kube-system

配置 Traefik

前面使用的是 Traefik 的默認(rèn)配置，現(xiàn)在我們來配置 Traefik，讓其支持 https：(traefik.toml)

defaultEntryPoints = ["http", "https"]

[entryPoints]
  [entryPoints.http]
  address = ":80"
    [entryPoints.http.redirect]
      entryPoint = "https"
  [entryPoints.https]
  address = ":443"
    [entryPoints.https.tls]
      [[entryPoints.https.tls.certificates]]
      CertFile = "/ssl/tls.crt"
      KeyFile = "/ssl/tls.key"

上面的配置文件中我們配置了 http 和 https 兩個入口，并且配置了將 http 服務(wù)強(qiáng)制跳轉(zhuǎn)到 https 服務(wù)，這樣我們所有通過 traefik 進(jìn)來的服務(wù)都是 https 的，要訪問 https 服務(wù)，當(dāng)然就得配置對應(yīng)的證書了，可以看到我們指定了 CertFile 和 KeyFile 兩個文件，由于 traefik pod 中并沒有這兩個證書，所以我們要想辦法將上面生成的證書掛載到 Pod 中去。
traefik.toml 配置文件通過 ConfigMap 對象掛載到 traefik pod 中去：

$ kubectl create configmap traefik-conf --from-file=traefik.toml -n kube-system

部署 traefik pod 的 yaml 文件：

kind: Deployment
apiVersion: extensions/v1beta1
metadata:
  name: traefik-ingress-controller
  namespace: kube-system
  labels:
    k8s-app: traefik-ingress-lb
spec:
  replicas: 1
  selector:
    matchLabels:
      k8s-app: traefik-ingress-lb
  template:
    metadata:
      labels:
        k8s-app: traefik-ingress-lb
        name: traefik-ingress-lb
    spec:
      serviceAccountName: traefik-ingress-controller
      terminationGracePeriodSeconds: 60
      volumes:
      - name: ssl
        secret:
          secretName: traefik-cert
      - name: config
        configMap:
          name: traefik-conf
      containers:
      - image: traefik
        name: traefik-ingress-lb
        volumeMounts:
        - mountPath: "/ssl"
          name: "ssl"
        - mountPath: "/config"
          name: "config"
        ports:
        - name: http
          containerPort: 80
          hostPort: 80
        - name: https
          containerPort: 443
          hostPort: 443
        - name: admin
          containerPort: 8080
        args:
        - --configfile=/config/traefik.toml
        - --api
        - --kubernetes
        - --logLevel=INFO

啟動參數(shù)中通過 configfile 指定了 traefik.toml 配置文件，這個配置文件是通過 volume 掛載進(jìn)來的。然后更新下 traefik pod:

$ kubectl apply -f traefik.yaml
$ kubectl logs traefik-ingress-controller-64bcdbb64b-nsjrg -n kube-system
time="2019-07-15T14:32:40Z" level=info msg="Server configuration reloaded on :80"
time="2019-07-15T14:32:40Z" level=info msg="Server configuration reloaded on :443"
time="2019-07-15T14:32:40Z" level=info msg="Server configuration reloaded on :8080"
image.png

更新完成后查看 traefik pod 的日志，如果出現(xiàn)類似于上面的一些日志信息，證明更新成功了?，F(xiàn)在訪問 traefik 的 dashboard 會跳轉(zhuǎn)到 https 的地址，并會提示證書相關(guān)的報警信息，這是因為我們的證書是自建的，并不受瀏覽器信任：


image.png

配置 ingress

其實上面的 TLS 認(rèn)證方式已經(jīng)成功了，接下來我們通過一個實例來說明下 ingress 中 path 的用法，這里部署了3個簡單的 web 服務(wù)，通過一個環(huán)境變量來標(biāo)識當(dāng)前運行的是哪個服務(wù)：（backend.yaml）

kind: Deployment
apiVersion: extensions/v1beta1
metadata:
  name: svc1
spec:
  replicas: 1
  template:
    metadata:
      labels:
        app: svc1
    spec:
      containers:
      - name: svc1
        image: cnych/example-web-service
        env:
        - name: APP_SVC
          value: svc1
        ports:
        - containerPort: 8080
          protocol: TCP

---
kind: Deployment
apiVersion: extensions/v1beta1
metadata:
  name: svc2
spec:
  replicas: 1
  template:
    metadata:
      labels:
        app: svc2
    spec:
      containers:
      - name: svc2
        image: cnych/example-web-service
        env:
        - name: APP_SVC
          value: svc2
        ports:
        - containerPort: 8080
          protocol: TCP

---
kind: Deployment
apiVersion: extensions/v1beta1
metadata:
  name: svc3
spec:
  replicas: 1
  template:
    metadata:
      labels:
        app: svc3
    spec:
      containers:
      - name: svc3
        image: cnych/example-web-service
        env:
        - name: APP_SVC
          value: svc3
        ports:
        - containerPort: 8080
          protocol: TCP

---
kind: Service
apiVersion: v1
metadata:
  labels:
    app: svc1
  name: svc1
spec:
  type: ClusterIP
  ports:
  - port: 8080
    name: http
  selector:
    app: svc1

---
kind: Service
apiVersion: v1
metadata:
  labels:
    app: svc2
  name: svc2
spec:
  type: ClusterIP
  ports:
  - port: 8080
    name: http
  selector:
    app: svc2

---
kind: Service
apiVersion: v1
metadata:
  labels:
    app: svc3
  name: svc3
spec:
  type: ClusterIP
  ports:
  - port: 8080
    name: http
  selector:
    app: svc3

可以看到上面我們定義了3個 Deployment，分別對應(yīng)3個 Service：

$ kubectl create -f backend.yaml
deployment.extensions "svc1" created
deployment.extensions "svc2" created
deployment.extensions "svc3" created
service "svc1" created
service "svc2" created
service "svc3" created

然后創(chuàng)建一個 ingress 對象來訪問上面的3個服務(wù)：（example-ingress.yaml）

apiVersion: extensions/v1beta1
kind: Ingress
metadata:
  name: example-web-app
  annotations:
    kubernetes.io/ingress.class: "traefik"
spec:
  rules:
  - host: example.qienda.com
    http:
      paths:
      - path: /s1
        backend:
          serviceName: svc1
          servicePort: 8080
      - path: /s2
        backend:
          serviceName: svc2
          servicePort: 8080
      - path: /
        backend:
          serviceName: svc3
          servicePort: 8080

注意這里定義的 ingress 對象和之前有一個不同的地方是增加了 path 路徑的定義，不指定的話默認(rèn)是 '/'，創(chuàng)建該 ingress 對象:

$ kubectl create -f test-ingress.yaml
ingress.extensions "example-web-app" created
$ kubectl get ingress
NAME              HOSTS                 ADDRESS   PORTS     AGE
example-web-app   example.qienda.com             80        1m
$ kubectl describe ingress example-web-app
Name:             example-web-app
Namespace:        default
Address:          
Default backend:  default-http-backend:80 (<none>)
Rules:
  Host                Path  Backends
  ----                ----  --------
  example.qienda.com  
                      /s1   svc1:8080 (10.254.23.16:8080)
                      /s2   svc2:8080 (10.254.43.16:8080)
                      /     svc3:8080 (10.254.23.17:8080)
Annotations:
  kubectl.kubernetes.io/last-applied-configuration:  {"apiVersion":"extensions/v1beta1","kind":"Ingress","metadata":{"annotations":{"kubernetes.io/ingress.class":"traefik"},"name":"example-web-app","namespace":"default"},"spec":{"rules":[{"host":"example.qienda.com","http":{"paths":[{"backend":{"serviceName":"svc1","servicePort":8080},"path":"/s1"},{"backend":{"serviceName":"svc2","servicePort":8080},"path":"/s2"},{"backend":{"serviceName":"svc3","servicePort":8080},"path":"/"}]}}]}}

  kubernetes.io/ingress.class:  traefik
Events:                         <none>

現(xiàn)在 在本地 hosts 里面給域名 example.qienda.com 添加對應(yīng)的 hosts 解析，然后就可以在瀏覽器中訪問，可以看到默認(rèn)也會跳轉(zhuǎn)到 https 的頁面：

image.png

可以看到訪問上面的域名得到的結(jié)果是 svc3 service！這是因為上面在 ingress 中我們?yōu)橛蛎母窂狡ヅ涞氖?svc3 這個 service，同樣的，我們訪問http://example.qienda.com/s1 得到的應(yīng)該就是 svc1 這個
image.png

訪問http://example.qienda.com/s2 得到的應(yīng)該就是 svc2 這個 service 了：
image.png

訪問任意，都跳轉(zhuǎn)到跟路徑下的配置
image.png

這里需要注意的是根路徑/必須在 ingress 對象中聲明的時候必須放在最后面，不然就都被/匹配到攔截到了.

如果不同的 ingress 對象是供不同的域名進(jìn)行使用的，然后不同的域名的證書還不相同，這樣想使用上面 traefik 提供的統(tǒng)一的 https 證書就不行了，這個時候就可以單獨為當(dāng)前的服務(wù)提供單獨的證書就可以，同樣用證書文件創(chuàng)建一個 secret 對象，然后在 ingress 對象中聲明一個 tls 對象即可，比如上面的 example.qienda.com 我們可以單獨指定一個證書文件：

apiVersion: extensions/v1beta1
kind: Ingress
metadata:
  name: example-web-app
  annotations:
    kubernetes.io/ingress.class: "traefik"
spec:
  tls:
    - secretName: traefik-cert
  rules:
  - host:
...
最后編輯于 ：
?著作權(quán)歸作者所有,轉(zhuǎn)載或內(nèi)容合作請聯(lián)系作者
【社區(qū)內(nèi)容提示】社區(qū)部分內(nèi)容疑似由AI輔助生成，瀏覽時請結(jié)合常識與多方信息審慎甄別。
平臺聲明：文章內(nèi)容（如有圖片或視頻亦包括在內(nèi)）由作者上傳并發(fā)布，文章內(nèi)容僅代表作者本人觀點，簡書系信息發(fā)布平臺，僅提供信息存儲服務(wù)。

相關(guān)閱讀更多精彩內(nèi)容

友情鏈接更多精彩內(nèi)容