K8S對外服務之Ingress

龍Llong發表於2023-03-04

一、Ingress 簡介

service的作用體現在兩個方面,對叢集內部,它不斷跟蹤pod的變化,更新endpoint(端點)中對應pod的物件,提供了ip不斷變化的pod的服務發現機制;對叢集外部,他類似負載均衡器,可以在叢集內外部對pod進行訪問。

在Kubernetes中,Pod的IP地址和service的ClusterIP僅可以在叢集網路內部使用,對於叢集外的應用是不可見的。為了使外部的應用能夠訪問叢集內的服務,Kubernetes目前提供了以下幾種方案:

  • NodePort:將service暴露在節點網路上,NodePort背後就是Kube-Proxy,Kube-Proxy是溝通service網路、Pod網路和節點網路的橋樑。
    測試環境使用還行,當有幾十上百的服務在叢集中執行時,NodePort的埠管理就是個災難。因為每個埠只能是一種服務,埠範圍只能是 30000-32767。
  • LoadBalancer:透過設定LoadBalancer對映到雲服務商提供的LoadBalancer地址。這種用法僅用於在公有云服務提供商的雲平臺上設定 Service 的場景。受限於雲平臺,且通常在雲平臺部署LoadBalancer還需要額外的費用。
    在service提交後,Kubernetes就會呼叫CloudProvider在公有云上為你建立一個負載均衡服務,並且把被代理的Pod的IP地址配置給負載均衡服務做後端。
  • externalIPs:service允許為其分配外部IP,如果外部IP路由到叢集中一個或多個Node上,Service會被暴露給這些externalIPs。透過外部IP進入到叢集的流量,將會被路由到Service的Endpoint上。 
  • Ingress:只需一個或者少量的公網IP和LB,即可同時將多個HTTP服務暴露到外網,七層反向代理。
    可以簡單理解為service的service,它其實就是一組基於域名和URL路徑,把使用者的請求轉發到一個或多個service的規則。

1、Ingress 組成

  • ingress:ingress是一個API物件,透過yaml檔案來配置,ingress物件的作用是定義請求如何轉發到service的規則,可以理解為配置模板。
    ingress透過http或https暴露叢集內部service,給service提供外部URL、負載均衡、SSL/TLS能力以及基於域名的反向代理。ingress要依靠 ingress-controller 來具體實現以上功能。
  • ingress-controller:
    ingress-controller是具體實現反向代理及負載均衡的程式,對ingress定義的規則進行解析,根據配置的規則來實現請求轉發。
    ingress-controller並不是k8s自帶的元件,實際上ingress-controller只是一個統稱,使用者可以選擇不同的ingress-controller實現,目前,由k8s維護的ingress-controller只有google雲的GCE與ingress-nginx兩個,其他還有很多第三方維護的ingress-controller,具體可以參考官方文件。但是不管哪一種ingress-controller,實現的機制都大同小異,只是在具體配置上有差異。
    一般來說,ingress-controller的形式都是一個pod,裡面跑著daemon程式和反向代理程式。daemon負責不斷監控叢集的變化,根據 ingress物件生成配置並應用新配置到反向代理,比如ingress-nginx就是動態生成nginx配置,動態更新upstream,並在需要的時候reload程式應用新配置。為了方便,後面的例子都以k8s官方維護的ingress-nginx為例。

Ingress-Nginx github 地址:https://github.com/kubernetes/ingress-nginx
Ingress-Nginx 官方網站:https://kubernetes.github.io/ingress-nginx/

2、總結

ingress-controller才是負責具體轉發的元件,透過各種方式將它暴露在叢集入口,外部對叢集的請求流量會先到 ingress-controller, 而ingress物件是用來告訴ingress-controller該如何轉發請求,比如哪些域名、哪些URL要轉發到哪些service等等。

二、Ingress 工作原理

K8S對外服務之Ingress

  1. ingress-controller透過和 kubernetes APIServer 互動,動態的去感知叢集中ingress規則變化,
  2. 然後讀取它,按照自定義的規則,規則就是寫明瞭哪個域名對應哪個service,生成一段nginx配置,
  3. 再寫到nginx-ingress-controller的pod裡,這個ingress-controller的pod裡執行著一個Nginx服務,控制器會把生成的 nginx配置寫入 /etc/nginx.conf檔案中,
  4. 然後reload一下使配置生效。以此達到域名區分配置和動態更新的作用。

三、部署 nginx-ingress-controller

1、部署ingress-controller pod及相關資源

mkdir /opt/ingress
cd /opt/ingress

官方下載地址:
wget https://raw.githubusercontent.com/kubernetes/ingress-nginx/nginx-0.25.0/deploy/static/mandatory.yaml

上面可能無法下載,可用國內的 gitee
wget https://gitee.com/mirrors/ingress-nginx/raw/nginx-0.25.0/deploy/static/mandatory.yaml
wget https://gitee.com/mirrors/ingress-nginx/raw/nginx-0.30.0/deploy/static/mandatory.yaml

#mandatory.yaml檔案中包含了很多資源的建立,包括namespace、ConfigMap、role,ServiceAccount等等所有部署ingress-controller需要的資源。

K8S對外服務之Ingress

2、修改 ClusterRole 資源配置

vim mandatory.yaml
......
apiVersion: rbac.authorization.k8s.io/v1beta1
#RBAC相關資源從1.17版本開始改用rbac.authorization.k8s.io/v1,rbac.authorization.k8s.io/v1beta1在1.22版本即將棄用
kind: ClusterRole
metadata:
  name: nginx-ingress-clusterrole
  labels:
    app.kubernetes.io/name: ingress-nginx
    app.kubernetes.io/part-of: ingress-nginx
rules:
  - apiGroups:
      - ""
    resources:
      - configmaps
      - endpoints
      - nodes
      - pods
      - secrets
    verbs:
      - list
      - watch
  - apiGroups:
      - ""
    resources:
      - nodes
    verbs:
      - get
  - apiGroups:
      - ""
    resources:
      - services
    verbs:
      - get
      - list
      - watch
  - apiGroups:
      - "extensions"
      - "networking.k8s.io"    # (0.25版本)增加 networking.k8s.io Ingress 資源的 api 
    resources:
      - ingresses
    verbs:
      - get
      - list
      - watch
  - apiGroups:
      - ""
    resources:
      - events
    verbs:
      - create
      - patch
  - apiGroups:
      - "extensions"
      - "networking.k8s.io"   # (0.25版本)增加 networking.k8s.io/v1 Ingress 資源的 api 
    resources:
      - ingresses/status
    verbs:
      - update

K8S對外服務之Ingress

ingress 暴露服務的方式

  • 方式一:Deployment+LoadBalancer 模式的 Service
    如果要把ingress部署在公有云,那用這種方式比較合適。用Deployment部署ingress-controller,建立一個 type為 LoadBalancer 的 service 關聯這組 pod。大部分公有云,都會為 LoadBalancer 的 service 自動建立一個負載均衡器,通常還繫結了公網地址。 只要把域名解析指向該地址,就實現了叢集服務的對外暴露
  • 方式二:DaemonSet+HostNetwork+nodeSelector
    用DaemonSet結合nodeselector來部署ingress-controller到特定的node上,然後使用HostNetwork直接把該pod與宿主機node的網路打通,直接使用宿主機的80/433埠就能訪問服務。這時,ingress-controller所在的node機器就很類似傳統架構的邊緣節點,比如機房入口的nginx伺服器。該方式整個請求鏈路最簡單,效能相對NodePort模式更好。缺點是由於直接利用宿主機節點的網路和埠,一個node只能部署一個ingress-controller pod。 比較適合大併發的生產環境使用。
  • 方式三:Deployment+NodePort模式的Service
    同樣用deployment模式部署ingress-controller,並建立對應的service,但是type為NodePort。這樣,ingress就會暴露在叢集節點ip的特定埠上。由於nodeport暴露的埠是隨機埠,一般會在前面再搭建一套負載均衡器來轉發請求。該方式一般用於宿主機是相對固定的環境ip地址不變的場景。
    NodePort方式暴露ingress雖然簡單方便,但是NodePort多了一層NAT,在請求量級很大時可能對效能會有一定影響。

3、指定 nginx-ingress-controller 執行在 node02 節點

 採用方式二:DaemonSet+HostNetwork+nodeSelector

kubectl label node node02 ingress=true

kubectl get nodes --show-labels

K8S對外服務之Ingress

4、修改 Deployment 為 DaemonSet ,指定節點執行,並開啟 hostNetwork 網路

vim mandatory.yaml

...
apiVersion: apps/v1
# 修改 kind
# kind: Deployment
kind: DaemonSet
metadata:
  name: nginx-ingress-controller
  namespace: ingress-nginx
  labels:
    app.kubernetes.io/name: ingress-nginx
    app.kubernetes.io/part-of: ingress-nginx
spec:
# 刪除Replicas
# replicas: 1
  selector:
    matchLabels:
      app.kubernetes.io/name: ingress-nginx
      app.kubernetes.io/part-of: ingress-nginx
  template:
    metadata:
      labels:
        app.kubernetes.io/name: ingress-nginx
        app.kubernetes.io/part-of: ingress-nginx
      annotations:
        prometheus.io/port: "10254"
        prometheus.io/scrape: "true"
    spec:
      # 使用主機網路
      hostNetwork: true
      # 選擇節點執行
      nodeSelector:
        ingress: "true"
      serviceAccountName: nginx-ingress-serviceaccount
......

K8S對外服務之Ingress

5、在所有 node 節點上傳 nginx-ingress-controller 映象壓縮包 ingree.contro.tar.gz 到/opt/ingress 目錄,並解壓和載入映象

cd /opt/ingress
tar zxvf ingree.contro.tar.gz
docker load -i ingree.contro.tar

K8S對外服務之Ingress

K8S對外服務之Ingress

6、啟動 nginx-ingress-controller

kubectl apply -f mandatory.yaml

#nginx-ingress-controller 已經執行 node02 節點
kubectl get pod -n ingress-nginx -o wide

kubectl get cm,daemonset -n ingress-nginx -o wide

K8S對外服務之Ingress

到 node02 節點檢視

netstat -lntp | grep nginx

K8S對外服務之Ingress

由於配置了 hostnetwork,nginx 已經在 node 主機本地監聽 80/443/8181 埠。其中 8181 是 nginx-controller 預設配置的一個 default backend(Ingress 資源沒有匹配的 rule 物件時,流量就會被導向這個 default backend)。這樣,只要訪問 node 主機有公網 IP,就可以直接對映域名來對外網暴露服務了。如果要 nginx 高可用的話,可以在多個 node上部署,並在前面再搭建一套 LVS+keepalived 做負載均衡。

7、建立 ingress 規則

建立一個 deploy 和 svc

vim service-nginx.yaml

apiVersion: apps/v1
kind: Deployment
metadata:
  name: nginx-app
spec:
  replicas: 2
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx
    spec:
      containers:
        - name: nginx
          image: nginx
          imagePullPolicy: IfNotPresent
          ports:
            - containerPort: 80
---
apiVersion: v1
kind: Service
metadata:
  name: nginx-app-svc
spec:
  type: ClusterIP
  ports:
  - protocol: TCP
    port: 80
    targetPort: 80
  selector:
    app: nginx

K8S對外服務之Ingress

建立 ingress

用的是方法二

#方法一:(extensions/v1beta1 Ingress 在1.22版本即將棄用)
vim ingress-app.yaml
apiVersion: extensions/v1beta1
kind: Ingress
metadata:
  name: nginx-app-ingress
spec:
  rules:
  - host: www.mcl.com
    http:
      paths:
      - path: /
        backend:
          serviceName: nginx-app-svc
          servicePort: 80

#方法二:
vim ingress-app.yaml	  
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: nginx-app-ingress
spec:
  rules:
  - host: www.mcl.com
    http:
      paths:
      - path: /
        pathType: Prefix
        backend:
          service:
            name: nginx-app-svc
            port:
              number: 80

K8S對外服務之Ingress

kubectl apply -f service-nginx.yaml

kubectl apply -f ingress-app.yaml

kubectl get pods

kubectl get ingress

K8S對外服務之Ingress

8、測試訪問

本地 host 新增域名解析

vim /etc/hosts

curl www.mcl.com

K8S對外服務之Ingress

K8S對外服務之Ingress

9、檢視 nginx-ingress-controller

kubectl get pod -n ingress-nginx -o wide

kubectl exec -it nginx-ingress-controller-p7tdq -n ingress-nginx /bin/bash

K8S對外服務之Ingress

K8S對外服務之Ingress

可以看到從 start server www.mcl.com 到 end server www.mcl.com 之間包含了此域名用於反向代理的配置

四、採用方式三:Deployment+NodePort模式的Service

1、下載 nginx-ingress-controller 和 ingress-nginx 暴露埠配置檔案

mkdir /opt/ingress-nodeport
cd /opt/ingress-nodeport

官方下載地址:
wget https://raw.githubusercontent.com/kubernetes/ingress-nginx/nginx-0.30.0/deploy/static/mandatory.yaml
wget https://raw.githubusercontent.com/kubernetes/ingress-nginx/nginx-0.30.0/deploy/static/provider/baremetal/service-nodeport.yaml

國內 gitee 資源地址:
wget https://gitee.com/mirrors/ingress-nginx/raw/nginx-0.30.0/deploy/static/mandatory.yaml
wget https://gitee.com/mirrors/ingress-nginx/raw/nginx-0.30.0/deploy/static/provider/baremetal/service-nodeport.yaml

K8S對外服務之Ingress

2、在所有 node 節點上傳映象包 ingress-controller-0.30.0.tar 到 /opt/ingress-nodeport 目錄,並載入映象

tar zxvf ingree.contro-0.30.0.tar.gz
docker load -i ingress-controller-0.30.0.tar

K8S對外服務之Ingress

3、啟動 nginx-ingress-controller

kubectl apply -f mandatory.yaml
kubectl apply -f service-nodeport.yaml

K8S對外服務之Ingress

K8S對外服務之Ingress

如果K8S Pod 排程失敗,在 kubectl describe pod資源時顯示:
Warning  FailedScheduling  18s (x2 over 18s)  default-scheduler  0/2 nodes are available: 2 node(s) didn't match node selector

解決方案:

  1. 給需要排程的node加上對應標籤
    相對上面這個Yaml檔案的例子
    kubectl label nodes node_name kubernetes.io/os=linux
  2. 刪除Yaml檔案中的nodeSelector,如果對節點沒有要求的話,直接刪除節點選擇器即可

4、Ingress HTTP 代理訪問

建立 deployment、Service、Ingress Yaml 資源

vim ingress-nginx.yaml 

apiVersion: apps/v1
kind: Deployment
metadata:
  name: nginx-myapp
spec:
  replicas: 2
  selector:
    matchLabels:
      name: nginx
  template:
    metadata:
      labels:
        name: nginx
    spec:
      containers:
        - name: nginx
          image: nginx
          imagePullPolicy: IfNotPresent
          ports:
            - containerPort: 80
---
apiVersion: v1
kind: Service
metadata:
  name: nginx-svc
spec:
  ports:
    - port: 80
      targetPort: 80
      protocol: TCP
  selector:
    name: nginx
---
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: nginx-test
spec:
  rules:
  - host: www.long.com
    http:
      paths:
      - path: /
        pathType: Prefix
        backend:
          service: 
            name: nginx-svc
            port:
              number: 80

K8S對外服務之Ingress

kubectl get pods,svc -o wide

K8S對外服務之Ingress

kubectl exec -it pod/nginx-myapp-57dd86f5cc-l48l2 bash

kubectl exec -it pod/nginx-myapp-57dd86f5cc-lpnfz bash

K8S對外服務之Ingress

5、測試訪問

curl 10.244.1.18

kubectl get svc -n ingress-nginx

K8S對外服務之Ingress

vim /etc/hosts

192.168.160.20 master
192.168.160.40 node01
192.168.160.90 node02
192.168.160.70 hub.mcl.com
192.168.160.90 www.mcl.com
#新增域名解析
192.168.160.40 www.mcl.com www.long.com

#外部訪問
curl http://www.long.com:31751

K8S對外服務之Ingress

K8S對外服務之Ingress

6、Ingress HTTP 代理訪問虛擬主機

mkdir /opt/ingress-nodeport/vhost
cd /opt/ingress-nodeport/vhost

#建立虛擬主機1資源
vim deployment1.yaml
apiVersion: apps/v1
kind: Deployment
metadata:
  name: deployment1
spec:
  replicas: 2
  selector:
    matchLabels:
      name: nginx1
  template:
    metadata:
      labels:
        name: nginx1
    spec:
      containers:
        - name: nginx1
          image: soscscs/myapp:v1
          imagePullPolicy: IfNotPresent
          ports:
            - containerPort: 80
---
apiVersion: v1
kind: Service
metadata:
  name: svc-1
spec:
  ports:
    - port: 80
      targetPort: 80
      protocol: TCP
  selector:
    name: nginx1
	
	
kubectl apply -f deployment1.yaml

K8S對外服務之Ingress

K8S對外服務之Ingress

#建立虛擬主機2資源
vim deployment2.yaml
apiVersion: apps/v1
kind: Deployment
metadata:
  name: deployment2
spec:
  replicas: 2
  selector:
    matchLabels:
      name: nginx2
  template:
    metadata:
      labels:
        name: nginx2
    spec:
      containers:
        - name: nginx2
          image: soscscs/myapp:v2
          imagePullPolicy: IfNotPresent
          ports:
            - containerPort: 80
---
apiVersion: v1
kind: Service
metadata:
  name: svc-2
spec:
  ports:
    - port: 80
      targetPort: 80
      protocol: TCP
  selector:
    name: nginx2
	
	
kubectl apply -f deployment2.yaml

K8S對外服務之Ingress

K8S對外服務之Ingress

#建立ingress資源
vim ingress-nginx.yaml
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: ingress1
spec:
  rules:
    - host: www1.mcl.com
      http:
        paths:
        - path: /
          pathType: Prefix
          backend:
            service: 
              name: svc-1
              port:
                number: 80
---
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: ingress2
spec:
  rules:
    - host: www2.mcl.com
      http:
        paths:
        - path: /
          pathType: Prefix
          backend:
            service: 
              name: svc-2
              port:
                number: 80


kubectl apply -f ingress-nginx.yaml

K8S對外服務之Ingress

7、測試訪問

kubectl get svc -n ingress-nginx

#做主機對映
vim /etc/hosts

curl www1.mcl.com:31751

curl www2.mcl.com:31751

K8S對外服務之Ingress

K8S對外服務之Ingress

8、Ingress  HTTPS 代理訪問 

mkdir /opt/ingress-nodeport/https
cd /opt/ingress-nodeport/https

K8S對外服務之Ingress

8.1 建立ssl證書

openssl req -x509 -sha256 -nodes -days 365 -newkey rsa:2048 -keyout tls.key -out tls.crt -subj "/CN=nginxsvc/O=nginxsvc"

K8S對外服務之Ingress

8.2 建立 secret 資源進行儲存

kubectl create secret tls tls-secret --key tls.key --cert tls.crt
kubectl get secret
kubectl describe secret tls-secret

K8S對外服務之Ingress

8.3 建立 deployment、Service、Ingress Yaml 資源

vim ingress-https.yaml
apiVersion: apps/v1
kind: Deployment
metadata:
  name: nginx-app
spec:
  replicas: 2
  selector:
    matchLabels:
      name: nginx
  template:
    metadata:
      labels:
        name: nginx
    spec:
      containers:
        - name: nginx
          image: nginx
          imagePullPolicy: IfNotPresent
          ports:
            - containerPort: 80
---
apiVersion: v1
kind: Service
metadata:
  name: nginx-svc
spec:
  ports:
    - port: 80
      targetPort: 80
      protocol: TCP
  selector:
    name: nginx
---
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: nginx-https
spec:
  tls:
    - hosts:
      - www3.long.com
      secretName: tls-secret
  rules:
    - host: www3.kgc.com
      http:
        paths:
        - path: /
          pathType: Prefix
          backend:
            service: 
              name: nginx-svc
              port:
                number: 80
                
kubectl apply -f ingress-https.yaml

K8S對外服務之Ingress

K8S對外服務之Ingress

K8S對外服務之Ingress

9、Nginx 進行 BasicAuth

mkdir /opt/ingress-nodeport/basic-auth
cd /opt/ingress-nodeport/basic-auth

K8S對外服務之Ingress

9.1 生成使用者密碼認證檔案,建立 secret 資源進行儲存

yum -y install httpd
htpasswd -c auth mcl			#認證檔名必須為 auth
kubectl create secret generic basic-auth --from-file=auth
kubectl get secrets
kubectl describe secrets basic-auth

K8S對外服務之Ingress

9.2 建立 ingress 資源

vim ingress-auth.yaml
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: ingress-auth
  annotations:
    #設定認證型別basic
    nginx.ingress.kubernetes.io/auth-type: basic
	#設定secret資源名稱basic-auth
    nginx.ingress.kubernetes.io/auth-secret: basic-auth
	#設定認證視窗提示資訊
    nginx.ingress.kubernetes.io/auth-realm: 'Authentication Required - mcl'
spec:
  rules:
  - host: auth.mcl.com
    http:
      paths:
      - path: /
        pathType: Prefix
        backend:
          service: 
            name: nginx-svc
            port:
              number: 80
              
//具體詳細設定方法可參考官網https://kubernetes.github.io/ingress-nginx/examples/auth/basic/

K8S對外服務之Ingress

9.3 訪問測試

kubectl apply -f ingress-auth.yaml
kubectl get svc -n ingress-nginx
echo '192.168.160.40 auth.mcl.com' >> /etc/hosts

瀏覽器訪問:http://auth.mcl.com:31751

K8S對外服務之Ingress

K8S對外服務之Ingress

K8S對外服務之Ingress

10、Nginx 進行重寫

metadata.annotations 配置說明

nginx.ingress.kubernetes.io/rewrite-target: <字串> #必須重定向流量的目標URI
nginx.ingress.kubernetes.io/ssl-redirect: <布林值> #指示位置部分是否僅可訪問SSL(當Ingress包含證書時,預設為true)
nginx.ingress.kubernetes.io/force-ssl-redirect: <布林值> #即使Ingress未啟用TLS,也強制重定向到HTTPS
nginx.ingress.kubernetes.io/app-root: <字串> #定義Controller必須重定向的應用程式根,如果它在'/'上下文中
nginx.ingress.kubernetes.io/use-regex: <布林值> #指示Ingress上定義的路徑是否使用正規表示式

編寫ingress-rewrite.yaml

vim ingress-rewrite.yaml
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: nginx-rewrite
  annotations:
    nginx.ingress.kubernetes.io/rewrite-target: http://www1.mcl.com:31751
spec:
  rules:
  - host: re.mcl.com
    http:
      paths:
      - path: /
        pathType: Prefix
        backend:
		  #由於re.kgc.com只是用於跳轉不需要真實站點存在,因此svc資源名稱可隨意定義
          service: 
            name: nginx-svc
            port:
              number: 80

K8S對外服務之Ingress

訪問測試

kubectl apply -f ingress-rewrite.yaml
echo '192.168.160.40 re.mcl.com' >> /etc/hosts

瀏覽器訪問:http://re.mcl.com:31751

K8S對外服務之Ingress

K8S對外服務之Ingress

K8S對外服務之Ingress

K8S對外服務之Ingress

五、總結

ingress是k8s叢集的請求入口,可以理解為對多個service的再次抽象
通常說的ingress一般包括ingress資源物件及ingress-controller兩部分組成
ingress-controller有多種實現,社群原生的是ingress-nginx,根據具體需求選擇
ingress自身的暴露有多種方式,需要根據基礎環境及業務型別選擇合適的方式

相關文章