• ingress tls
    • TLS 认证
      • 配置 Traefik
      • 配置 ingress

    ingress tls

    上节课给大家展示了 traefik 的安装使用以及简单的 ingress 的配置方法，这节课我们来学习一下 ingress tls 以及 path 路径在 ingress 对象中的使用方法。

    TLS 认证

    在现在大部分场景下面我们都会使用 https 来访问我们的服务，这节课我们将使用一个自签名的证书，当然你有在一些正规机构购买的 CA 证书是最好的，这样任何人访问你的服务的时候都是受浏览器信任的证书。使用下面的 openssl 命令生成 CA 证书：

    1. $ openssl req -newkey rsa:2048 -nodes -keyout tls.key -x509 -days 365 -out tls.crt

    现在我们有了证书，我们可以使用 kubectl 创建一个 secret 对象来存储上面的证书：

    1. $ kubectl create secret generic traefik-cert --from-file=tls.crt --from-file=tls.key -n kube-system

    配置 Traefik

    前面我们使用的是 Traefik 的默认配置，现在我们来配置 Traefik，让其支持 https：

    1. defaultEntryPoints = ["http", "https"]
    3. [entryPoints]
    4.   [entryPoints.http]
    5.   address = ":80"
    6.     [entryPoints.http.redirect]
    7.       entryPoint = "https
    8.   [entryPoints.https]
    9.   address = ":443"
    10.     [entryPoints.https.tls]
    11.       [[entryPoints.https.tls.certificates]]
    12.       CertFile = "/ssl/tls.crt"
    13.       KeyFile = "/ssl/tls.key"

    上面的配置文件中我们配置了 http 和 https 两个入口，并且配置了将 http 服务强制跳转到 https 服务，这样我们所有通过 traefik 进来的服务都是 https 的，要访问 https 服务，当然就得配置对应的证书了，可以看到我们指定了 CertFile 和 KeyFile 两个文件，由于 traefik pod 中并没有这两个证书，所以我们要想办法将上面生成的证书挂载到 Pod 中去，是不是前面我们讲解过 secret 对象可以通过 volume 形式挂载到 Pod 中？至于上面的 traefik.toml 这个文件我们要怎么让 traefik pod 能够访问到呢？还记得我们前面讲过的 ConfigMap 吗？我们是不是可以将上面的 traefik.toml 配置文件通过一个 ConfigMap 对象挂载到 traefik pod 中去：

    1. $ kubectl create configmap traefik-conf --from-file=traefik.toml -n kube-system

    现在就可以更改下上节课的 traefik pod 的 yaml 文件了：

    1. kind: Deployment
    2. apiVersion: extensions/v1beta1
    3. metadata:
    4.   name: traefik-ingress-controller
    5.   namespace: kube-system
    6.   labels:
    7.     k8s-app: traefik-ingress-lb
    8. spec:
    9.   replicas: 1
    10.   selector:
    11.     matchLabels:
    12.       k8s-app: traefik-ingress-lb
    13.   template:
    14.     metadata:
    15.       labels:
    16.         k8s-app: traefik-ingress-lb
    17.         name: traefik-ingress-lb
    18.     spec:
    19.       serviceAccountName: traefik-ingress-controller
    20.       terminationGracePeriodSeconds: 60
    21.       volumes:
    22.       - name: ssl
    23.         secret:
    24.           secretName: traefik-cert
    25.       - name: config
    26.         configMap:
    27.           name: traefik-conf
    28.       tolerations:
    29.       - operator: "Exists"
    30.       nodeSelector:
    31.         kubernetes.io/hostname: master
    32.       containers:
    33.       - image: traefik
    34.         name: traefik-ingress-lb
    35.         volumeMounts:
    36.         - mountPath: "/ssl"
    37.           name: "ssl"
    38.         - mountPath: "/config"
    39.           name: "config"
    40.         ports:
    41.         - name: http
    42.           containerPort: 80
    43.           hostPort: 80
    44.         - name: https
    45.           containerPort: 443
    46.           hostPort: 443
    47.         - name: admin
    48.           containerPort: 8080
    49.         args:
    50.         - --configfile=/config/traefik.toml
    51.         - --api
    52.         - --kubernetes
    53.         - --logLevel=INFO

    和之前的比较，我们增加了 443 的端口配置，以及启动参数中通过 configfile 指定了 traefik.toml 配置文件，这个配置文件是通过 volume 挂载进来的。然后更新下 traefik pod:

    1. $ kubectl apply -f traefik.yaml
    2. $ kubectl logs -f traefik-ingress-controller-7dcfd9c6df-v58k7 -n kube-system
    3. time="2018-08-26T11:26:44Z" level=info msg="Server configuration reloaded on :80"
    4. time="2018-08-26T11:26:44Z" level=info msg="Server configuration reloaded on :443"
    5. time="2018-08-26T11:26:44Z" level=info msg="Server configuration reloaded on :8080"

    更新完成后我们查看 traefik pod 的日志，如果出现类似于上面的一些日志信息，证明更新成功了。现在我们去访问 traefik 的 dashboard 会跳转到 https 的地址，并会提示证书相关的报警信息，这是因为我们的证书是我们自建的，并不受浏览器信任，如果你是正规机构购买的证书并不会出现改报警信息，你应该可以看到我们常见的绿色标志：
    traefik tls warning

    点击下面的高级，我们可以强制让其跳转，这样我们就可以正常访问 traefik 的 dashboard 了。

    配置 ingress

    其实上面的 TLS 认证方式已经成功了，接下来我们通过一个实例来说明下 ingress 中 path 的用法，这里我们部署了3个简单的 web 服务，通过一个环境变量来标识当前运行的是哪个服务：（backend.yaml）

    1. kind: Deployment
    2. apiVersion: extensions/v1beta1
    3. metadata:
    4.   name: svc1
    5. spec:
    6.   replicas: 1
    7.   template:
    8.     metadata:
    9.       labels:
    10.         app: svc1
    11.     spec:
    12.       containers:
    13.       - name: svc1
    14.         image: cnych/example-web-service
    15.         env:
    16.         - name: APP_SVC
    17.           value: svc1
    18.         ports:
    19.         - containerPort: 8080
    20.           protocol: TCP
    22. ---
    23. kind: Deployment
    24. apiVersion: extensions/v1beta1
    25. metadata:
    26.   name: svc2
    27. spec:
    28.   replicas: 1
    29.   template:
    30.     metadata:
    31.       labels:
    32.         app: svc2
    33.     spec:
    34.       containers:
    35.       - name: svc2
    36.         image: cnych/example-web-service
    37.         env:
    38.         - name: APP_SVC
    39.           value: svc2
    40.         ports:
    41.         - containerPort: 8080
    42.           protocol: TCP
    44. ---
    45. kind: Deployment
    46. apiVersion: extensions/v1beta1
    47. metadata:
    48.   name: svc3
    49. spec:
    50.   replicas: 1
    51.   template:
    52.     metadata:
    53.       labels:
    54.         app: svc3
    55.     spec:
    56.       containers:
    57.       - name: svc3
    58.         image: cnych/example-web-service
    59.         env:
    60.         - name: APP_SVC
    61.           value: svc3
    62.         ports:
    63.         - containerPort: 8080
    64.           protocol: TCP
    66. ---
    67. kind: Service
    68. apiVersion: v1
    69. metadata:
    70.   labels:
    71.     app: svc1
    72.   name: svc1
    73. spec:
    74.   type: ClusterIP
    75.   ports:
    76.   - port: 8080
    77.     name: http
    78.   selector:
    79.     app: svc1
    81. ---
    82. kind: Service
    83. apiVersion: v1
    84. metadata:
    85.   labels:
    86.     app: svc2
    87.   name: svc2
    88. spec:
    89.   type: ClusterIP
    90.   ports:
    91.   - port: 8080
    92.     name: http
    93.   selector:
    94.     app: svc2
    96. ---
    97. kind: Service
    98. apiVersion: v1
    99. metadata:
    100.   labels:
    101.     app: svc3
    102.   name: svc3
    103. spec:
    104.   type: ClusterIP
    105.   ports:
    106.   - port: 8080
    107.     name: http
    108.   selector:
    109.     app: svc3

    可以看到上面我们定义了3个 Deployment，分别对应3个 Service：

    1. $ kubectl create -f backend.yaml
    2. deployment.extensions "svc1" created
    3. deployment.extensions "svc2" created
    4. deployment.extensions "svc3" created
    5. service "svc1" created
    6. service "svc2" created
    7. service "svc3" created

    然后我们创建一个 ingress 对象来访问上面的3个服务：（example-ingress.yaml）

    1. apiVersion: extensions/v1beta1
    2. kind: Ingress
    3. metadata:
    4.   name: example-web-app
    5.   annotations:
    6.     kubernetes.io/ingress.class: "traefik"
    7. spec:
    8.   rules:
    9.   - host: example.haimaxy.com
    10.     http:
    11.       paths:
    12.       - path: /s1
    13.         backend:
    14.           serviceName: svc1
    15.           servicePort: 8080
    16.       - path: /s2
    17.         backend:
    18.           serviceName: svc2
    19.           servicePort: 8080
    20.       - path: /
    21.         backend:
    22.           serviceName: svc3
    23.           servicePort: 8080

    注意我们这里定义的 ingress 对象和之前有一个不同的地方是我们增加了 path 路径的定义，不指定的话默认是 ‘/‘，创建该 ingress 对象：

    1. $ kubectl create -f test-ingress.yaml
    2. ingress.extensions "example-web-app" created
    3. $ kubectl get ingress
    4. NAME              HOSTS                 ADDRESS   PORTS     AGE
    5. example-web-app   example.haimaxy.com             80        1m
    6. $ kubectl describe ingress example-web-app
    7. Name:             example-web-app
    8. Namespace:        default
    9. Address:
    10. Default backend:  default-http-backend:80 (<none>)
    11. Rules:
    12.   Host                 Path  Backends
    13.   ----                 ----  --------
    14.   example.haimaxy.com
    15.                        /s1   svc1:8080 (<none>)
    16.                        /s2   svc2:8080 (<none>)
    17.                        /     svc3:8080 (<none>)
    18. Annotations:
    19.   kubernetes.io/ingress.class:  traefik
    20. Events:                         <none>

    现在我们可以在本地 hosts 里面给域名 example.haimaxy.com 添加对应的 hosts 解析，然后就可以在浏览器中访问，可以看到默认也会跳转到 https 的页面：
    demo1

    我们可以看到访问上面的域名得到的结果是 svc3 service！这是因为上面在 ingress 中我们为域名的跟路径匹配的是 svc3 这个 service，同样的，我们访问http://example.haimaxy.com/s1 得到的应该就是 svc1 这个 service 了：
    demo2

    访问http://example.haimaxy.com/s2 得到的应该就是 svc2 这个 service 了：
    demo3

    这里我们需要注意的是根路径/必须在 ingress 对象中声明的时候必须放在最后面，不然就都被/匹配到拦截到了，大家可以尝试下把/这个 path 放在最上面，然后访问下 s1 和 s2 这两个 path，看看得到的结果是怎样的？

    有的同学可能有这样的需求，就是不同的 ingress 对象是供不同的域名进行使用的，然后不同的域名的证书还不相同，这样我们想使用上面 traefik 给大家提供的统一的 https 证书就不行了，这个时候我们就可以单独为当前的服务提供单独的证书就可以，同样用证书文件创建一个 secret 对象，然后在 ingress 对象中声明一个 tls 对象即可，比如上面的 example.haimaxy.com 我们可以单独指定一个证书文件：

    1. apiVersion: extensions/v1beta1
    2. kind: Ingress
    3. metadata:
    4.   name: example-web-app
    5.   annotations:
    6.     kubernetes.io/ingress.class: "traefik"
    7. spec:
    8.   tls:
    9.     - secretName: traefik-cert
    10.   rules:
    11.   - host:
    12. ...