*作者：如葑*

雲原生閘道器將流量閘道器、微服務閘道器、安全閘道器三合一，被譽為下一代閘道器，完全相容 Kubernetes Ingress 標準 API，解決了三層閘道器架構獨立設計、獨立運維導致的資源消耗大、效能損耗大、穩定性難控、安全防護複雜等難題，相比傳統閘道器，雲原生閘道器在資源成本、效能、安全性和易用性上更有優勢。

遷移是上線前的必備工作，如何降低遷移過程中帶來的風險，是遷移工作的重中之重。本文將基於 MSE 雲原生閘道器，介紹兩類場景下的雲原生閘道器遷移實踐，第一類，是自建 Nginx Ingress 遷移到 MSE，我們提供了不更改原有 SLB，便可實現不停機遷移的能力，控制遷移風險，將對此將展開詳細介紹；第二類是傳統的微服務閘道器遷移到 MSE，我們透過提供詳細的操作文件來說明。

## 自建 Nginx Ingress 遷移到 MSE 雲原生閘道器

### 為何要遷移

MSE 雲原生閘道器已經相容了 Nginx Ingress 註解 80%+的使用場景，使用者無需修改已有 Ingress 配置，即可無縫遷移到 MSE 雲原生閘道器，且相比 Nginx Ingress 原生註解，提供了功能更豐富的擴充套件註解，總結如下：

![1.png](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/3b094b5c2d7e406fba1b5ab957073272~tplv-k3u1fbpfcp-zoom-1.image "1.png")

尤其在安全領域今年 K8s Ingress Nginx 專案接連披露了三個高危安全漏洞（CVE-2021-25745, CVE-2021-25746, CVE-2021-25748），該專案也在近期宣佈將停止接收新功能 PR，專注修復並提升穩定性。Ingress 閘道器作為處於 Internet 網路邊界的基礎軟體，又被大規模使用，勢必會成為一些攻擊者的理想目標。一旦防線攻破，其代價是慘痛的，可以參考同樣是網路邊界的基礎元件，OpenSSL 的 Heartbleed 心血漏洞殷鑑不遠。更多關於Nginx Ingress 架構安全缺陷請參考《[Ingress Nginx 接連披露高危安全漏洞，是否有更好的選擇？](https://mp.weixin.qq.com/s?__biz=MzUzNzYxNjAzMg==&mid=2247532344&idx=1&sn=0c8d5fa84605434284a63cbae7a2257e&scene=21#wechat_redirect)》。

> 關於 MSE 雲原生閘道器增強的擴充套件註解請參考《MSE Ingress高階用法》：<https:>

### 如何低風險遷移？

從 Nginx Ingress 遷移到 MSE 雲原生閘道器的過程中，為幫助使用者瞭解各遷移階段，我們梳理了各個階段的簡要說明，且考慮到在使用者遷移後能仍然能夠複用已有的 SLB，降低遷移成本，MSE 雲原生閘道器也提供了“SLB 遷移”功能，讓使用者能夠方便的將流量分程式遷移到 MSE 雲原生閘道器。

接下來，我們以圖示方式，簡單說明遷移的各個階段。

-   **遷移階段總覽**

![2.png](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/bcdf492fdb584b9697e59ea9c8786a72~tplv-k3u1fbpfcp-zoom-1.image "2.png")

從上圖中可以看到，雖然遷移分成了 5 個階段，但真正在“遷移”階段，使用者只需要執行一步操作即可完成 Nginx Ingress 配置到 MSE 雲原生閘道器的遷移，非常簡便快捷。

在介紹完整體的遷移階段，接下來我們會進一步詳細介紹具體的遷移操作。

-   **遷移分解**

從 Nginx Ingress 遷移到 MSE 雲原生閘道器的具體流程圖如下：

![3.png](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/617dae230e4545bbaddacf494b742241~tplv-k3u1fbpfcp-zoom-1.image "3.png")

下面對各個步驟展開進一步的說明。

-   **遷移準備**

首先，在容器服務 ACK 的應用市場中安裝 mse-ingress-controller 到 Nginx Ingress 所在叢集，如下：

![4.png](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/da7c423e798342be896c884f921b2143~tplv-k3u1fbpfcp-zoom-1.image "4.png")

![5.png](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/9a4415727c7345b289a0cc48c4d9d67c~tplv-k3u1fbpfcp-zoom-1.image "5.png")

其次，呼叫 mse-ingress-controller 的 HTTP 介面 check-nginx-ingress 做遷移前的註解相容性校驗，具體的呼叫命令如下：

```
kubectl run -i --rm --restart=Never checker --image=curlimages/curl -- -s "ack-mse-ingress-controller.mse-ingress-controller.svc:8081/check-nginx-ingress?ingress-class=mse&namespace=mse-ingress-controller"
```

> 引數說明：ack-mse-ingress-controller.mse-ingress-controller.svc 格式為${svcName}.${svcNamespace}.svc。svcNamespace 為 Mse Ingress Controller 所處的名稱空間

> ingress-class，指定所有關聯該 IngressClass 的 Ingress 資源
>
> 1.  1.  值為空，或者未指定該引數，則包含叢集中所有的Ingress資源
>     1.  值為nginx，則包含叢集中關聯IngressClass為nginx或未指定IngressClass的Ingress資源
>     1.  值為自定義值，則包含叢集中關聯IngressClass為指定值的Ingress資源

> namespace，指定哪些名稱空間下的 Ingress 資源
>
> 1.  1.  值為空，或者未指定該引數，則包含叢集中所有名稱空間下的Ingress資源
>     1.  值為自定義值，則包含叢集中指定名稱空間下的Ingress資源，僅支援指定單個名稱空間

> 返回結果引數說明：
> 1. isAllSupported：所指的 Ingress 資源是否全部相容
> 
> 2. totalNumber：所指的 Ingress 資源的總數量
> 
> 3. supportedSet：完全相容的 Ingress 集合，其子欄位 namespacedName 格式為${namespace}/${name}
> 
> 4. unSupportedSet：不完全相容的 Ingress 集合，其子欄位 reason 指出不相容的原因。

返回結果樣例：

```
{
 "isAllSupported": false,
 "totalNumber": 3,
 "supportedSet": [
  {
   "namespacedName": "mse-ingress-controller/ingress"
  },
  }
 ],
 "unSupportedSet": [
  {
   "namespacedName": "default/test-3",
   "reason": "default backend is not supported, "
  },
  {
   "namespacedName": "mse-ingress-controller/test-3",
   "reason": "annotation nginx.ingress.kubernetes.io/auth-tls-pass-certificate-to-upstream is not supported, tls missing secret, "
  }
 ]
}
```

-   **遷移**

MseIngressConfig 資源是 MSE 雲原生閘道器提供的用於管理閘道器例項生命週期的 K8s CRD，建立 MseIngressConfig 資源後，mse-ingress-controller 會監聽該資源，並呼叫 MSE OpenAPI 建立閘道器例項，閘道器例項的全域性配置來自於 MseIngressConfig 資源中的描述定義；在閘道器例項建立成功後會監聽目標 K8s 叢集的 Ingress 資源，自動完成 Nginx Ingress Annotation 的轉換。下面以最小配置建立閘道器為例進行說明。

透過 MseIngressConfig 來建立閘道器的步驟：

1. 複製並儲存以下配置檔案到 mse-ingress-test.yaml，以下配置例子是所需的最小配置，僅需提供一個交換機 ID。

> 更多的配置項說明參考《透過 MSE Ingress 訪問容器服務》：<https:>

> 注意：交換機所屬的 VPC 必須與目標叢集使用的 VPC 保持一致
>
> 說明：配置 ingressclass 時會自動建立 IngressClass 資源並與閘道器例項進行關聯，使用者也可手工建立 IngressClass

```
apiVersion: mse.alibabacloud.com/v1alpha1
kind: MseIngressConfig
metadata:
  name: test
spec:
  ingress:
    local:
      ingressclass: mse
  common:
    network:
      vSwitches:
        - "vsw-xxxx"
```

2.  執行以下命令，建立 MseIngressConfig

```
kubectl apply -f mse-ingress-test.yaml
```

3.  查詢 MseIngressConfig 的狀態，並等待狀態為 Listenning，表示雲原生閘道器建立成功且處於監聽叢集中 Ingress 資源的執行狀態。

```
kubectl get MseIngressConfig test

輸出結果
NAME   STATUS      AGE
test   Listening   3m15s
```

狀態說明：

-   Pending：表示雲原生閘道器正在建立中，需等待 3 min 左右
-   Running：表示雲原生閘道器建立成功，並處於執行狀態
-   Listening：表示雲原生處於執行狀態，並監聽叢集中 Ingress 資源
-   Failed：表示雲原生閘道器處於非法狀態，可以檢視 Status 欄位中 Message 來進一步明確原因

-   **測試**

路由測試可能每個使用者的方法不盡相同，這裡推薦使用本地綁 host 到 MSE 雲原生閘道器 SLB 的方式測試路由正確性。例如當前有如下 Ingress 配置：

```
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: ingress
spec:
  ingressClassName: mse
  rules:
  - host: "foo.bar.com"
    http:
      paths:
      - backend:
          service:
            name: go-httpbin
            port:
              number: 80
        path: /version
        pathType: Prefix
```

繫結 host 測試如下：

```
curl http://foo.bar.com/version --resolve foo.bar.com:80:114.55.243.37

輸出結果
version:v1
```

-   **切流**

首先，需要在 SLB 控制檯將需要遷移的 SLB 的排程演算法改為“加權輪詢”（對於從未設定過權重值的使用者修改排程演算法對流量沒有任何影響，如您已經使用了“加權輪詢”演算法請忽略該操作），如下：

![6.png](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/843245aad4af407aaf90af0a0a91c2d1~tplv-k3u1fbpfcp-zoom-1.image "6.png")

其次，在 MSE 雲原生閘道器控制檯中使用“SLB遷移”功能，將閘道器節點新增到使用者 SLB 的虛擬伺服器組中，並設定新節點總的權重值，具體操作是在 MSE 雲原生閘道器控制檯中單擊基本概覽，在頁面的閘道器入口區域，單擊 SLB 遷移，設定流量遷移權重值，首次編輯建議權重值設定為小於 5，即將 5% 以內的流量遷移到 MSE 雲原生閘道器，如下：

![7.png](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/99da6966cdb44f2f80e3dcc4902d8af2~tplv-k3u1fbpfcp-zoom-1.image "7.png")

關於“SLB 遷移”的更詳細操作步驟，請參考使用文件《SLB 遷移》。

> <https:>

最後，在 MSE 雲原生閘道器控制檯中逐步增大權重值直至 100 即可完成最終的切流。具體操作是在 MSE 雲原生閘道器控制檯中單擊基本概覽，在頁面的閘道器入口區域，選擇需要編輯的 SLB 遷移配置，單擊目標配置操作列下方的編輯按鈕，在彈出頁面中設定權重值即可。

## 微服務閘道器遷移到 MSE 雲原生閘道器

在 K8s 重塑運維體系的雲時代，Spring Cloud Gateway 和 Zuul 欠缺發現容器服務的能力，效能上不如 Nginx Ingress，可觀測、安全等方面都需要二次開發再整合，在上雲、混合雲等場景中可能出現 Ingress 和 Spring Cloud Gateway 和 Zuul 的兩層網路架構，這不僅多了層網路和資源消耗，也徒增了運維成本。以下將介紹如何將 Spring Cloud Gateway 和 Zuul 遷移到雲原生閘道器。

-   遷移 Spring Cloud Gateway：<https:>
-   遷移 Zuul：<https:>

以上就是兩類常見場景下的雲原生閘道器遷移實踐，也歡迎瞭解更多關於 MSE 雲原生閘道器的特性與介紹。

**MSE 雲原生閘道器、註冊配置中心首購 8 折優惠，首購 1 年及以上 7 折優惠。**

掃碼瞭解更多產品資訊~

![8.png](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/d0856b19a0cd42748a62be5ed6a46413~tplv-k3u1fbpfcp-zoom-1.image "8.png")</https:></https:></https:></https:></https:>

兩類常見場景下的雲原生閘道器遷移實踐

相關文章