k8s学习-Ingress

4.5、Ingress

Ingress-Nginx github 地址：https://github.com/kubernetes/ingress-nginxIngress-Nginx

官方网站：https://kubernetes.github.io/ingress-nginx/

通常情况下，Service 和 Pod 的 IP 仅可在集群内部访问。集群外部的请求需要通过负载均衡转发到 Service 在 Node 上暴露的 NodePort 上，然后再由 kube-proxy 通过边缘路由器 (edge router) 将其转发给相关的 Pod 或者丢弃。而 Ingress 就是为进入集群的请求提供路由规则的集合。

Ingress 可以给 Service 提供集群外部访问的 URL、负载均衡、SSL 终止、HTTP 路由等。为了配置这些 Ingress 规则，集群管理员需要部署一个 Ingress Controller，它监听 Ingress 和 Service 的变化，并根据规则配置负载均衡并提供访问入口。

4.5.1、安装ingress-nginx

mkdir -p /usr/local/docker/kubernetes/plugins/test/ingress
cd /usr/local/docker/kubernetes/plugins/test/ingress

wget https://raw.githubusercontent.com/kubernetes/ingress-nginx/nginx-0.30.0/deploy/static/mandatory.yaml

# 创建 deployment
kubectl apply -f mandatory.yaml

kubectl get deploy -n ingress-nginx
kubectl get pod -n ingress-nginx

# 查看描述pod修改为你自己的pod名字
kubectl describe pod nginx-ingress-controller-7fcf8df75d-5fbc6 -n ingress-nginx

# 创建 service
wget https://raw.githubusercontent.com/kubernetes/ingress-nginx/nginx-0.30.0/deploy/static/provider/baremetal/service-nodeport.yaml
kubectl apply -f service-nodeport.yaml

# 查看 svc
[root@k8s-master ingress]# kubectl get svc -n ingress-nginx
NAME            TYPE       CLUSTER-IP      EXTERNAL-IP   PORT(S)                      AGE
ingress-nginx   NodePort   10.100.49.226   <none>        80:30197/TCP,443:31898/TCP   28s

例子

官方文档： https://kubernetes.github.io/ingress-nginx/examples

http代理

有nginx-svc-http代理两个nginx 的 pod，通过ingress-nginx代理使得www.nginx-svc-http.com代理到nginx-svc-http

vim svc-http.yml

apiVersion: extensions/v1beta1
kind: Deployment
metadata:
  name: nginx-deploy
spec:
  replicas: 2
  template:
    metadata:
      labels:
        app: nginx-http
    spec:
      containers:
      - name: nginx
        image: habor-repo.com/library/nginx:v1
        imagePullPolicy: IfNotPresent
        ports:
        - name: http
          containerPort: 80
---
apiVersion: v1
kind: Service
metadata:
  name: nginx-svc-http
spec:
  selector: # 这里的labels匹配上面的 matchLabels 用来发现deployment
    app: nginx-http
  ports:
  - port: 8090 # 暴露的svc外部端口
    targetPort: 80 # 容器内部端口
    protocol: TCP
---
apiVersion: extensions/v1beta1
kind: Ingress # 注意类型
metadata:
  name: nginx-ingress-http
spec:
  rules:
    - host: www.nginx-svc-http.com # 主机域名
      http:
        paths:
        - path: /
          backend:
            serviceName: nginx-svc-http # 上面的 service 的 metadata.name
            servicePort: 8090 # 上面service 的端口

配置访问端域名解析：

kubectl apply -f svc-http.yml

kubectl get ingress

# 查看ingress
[root@k8s-master ingress]# kubectl get ingress
NAME                 HOSTS                    ADDRESS         PORTS   AGE
nginx-ingress-http   www.nginx-svc-http.com                   80      6s

# 查看 ingress 的暴露端口
[root@k8s-master ingress]# kubectl get svc -n ingress-nginx
NAME            TYPE       CLUSTER-IP      EXTERNAL-IP   PORT(S)                      AGE
ingress-nginx   NodePort   10.100.49.226   <none>        80:30197/TCP,443:31898/TCP   28s

# 浏览器访问 使用 http 端口 30197
http://www.nginx-svc-http.com:30197/

https代理

# 先创建 https 证书
openssl req -x509 -sha256 -nodes -days 365 -newkey rsa:2048 -keyout tls.key -out tls.crt -subj "/CN=nginxsvc/O=nginxsvc"
kubectl create secret tls tls-secret --key tls.key --cert tls.crt

vim svc-https.yaml

apiVersion: extensions/v1beta1
kind: Ingress # 注意类型
metadata:
  name: nginx-ingress-https
spec:
  tls:
  - hosts:
    - www.nginx-svc-https.com
    secretName: tls-secret # 和上面生成证书 中的 tls-secret 保持一致
  rules:
    - host: www.nginx-svc-https.com # 主机域名
      http:
        paths:
        - path: /
          backend:
            serviceName: nginx-svc-http # 上面的 service 的 metadata.name
            servicePort: 8090 # 上面service 的端口

kubectl apply -f svc-https.yml

# 查看ingress
[root@k8s-master https]# kubectl get ingress
NAME                  HOSTS                     ADDRESS         PORTS     AGE
nginx-ingress-http    www.nginx-svc-http.com    10.100.49.226   80        37m
nginx-ingress-https   www.nginx-svc-https.com                   80, 443   12s

# 查看 ingress 的暴露端口
[root@k8s-master ingress]# kubectl get svc -n ingress-nginx
NAME            TYPE       CLUSTER-IP      EXTERNAL-IP   PORT(S)                      AGE
ingress-nginx   NodePort   10.100.49.226   <none>        80:30197/TCP,443:31898/TCP   28s

# 浏览器访问 使用 https 端口 31898
https://www.nginx-svc-https.com:31898/

basic auth

yum install -y httpd
htpasswd -c auth foo # 用户名 foo ，输入两次密码： 123456
kubectl create secret generic basic-auth --from-file=auth

vim basic-auth.yml

apiVersion: extensions/v1beta1
kind: Ingress # 注意类型
metadata:
  name: nginx-basic-auth
  annotations:
    # type of authentication
    nginx.ingress.kubernetes.io/auth-type: basic
    # name of the secret that contains the user/password definitions
    nginx.ingress.kubernetes.io/auth-secret: basic-auth
    # message to display with an appropriate context why the authentication is required
    nginx.ingress.kubernetes.io/auth-realm: 'Authentication Required - foo'
spec:
  rules:
  - host: www.nginx-basic-auth.com # 主机域名
    http:
      paths:
      - path: /
        backend:
          serviceName: nginx-svc-http # 上面的 service 的 metadata.name
          servicePort: 8090 # 上面service 的端口

kubectl apply -f basic-auth.yml

# 查看ingress
[root@k8s-master https]# kubectl get ingress
NAME                  HOSTS                      ADDRESS         PORTS     AGE
nginx-basic-auth      www.nginx-basic-auth.com                   80        7s
nginx-ingress-http    www.nginx-svc-http.com     10.100.49.226   80        54m
nginx-ingress-https   www.nginx-svc-https.com    10.100.49.226   80, 443   17m

# 查看 ingress 的暴露端口
[root@k8s-master ingress]# kubectl get svc -n ingress-nginx
NAME            TYPE       CLUSTER-IP      EXTERNAL-IP   PORT(S)                      AGE
ingress-nginx   NodePort   10.100.49.226   <none>        80:30197/TCP,443:31898/TCP   28s

# 浏览器访问 使用 http 端口 30197
http://www.nginx-basic-auth.com:30197/
# 使用 https 端口 31898
https://www.nginx-basic-auth.com:31898/
# 输入用户名/密码 ： foo/123456

转发

名称	描述	值
nginx.ingress.kubernetes.io/rewrite-target	必须重定向流量的目标URI	串
nginx.ingress.kubernetes.io/ssl-redirect	指示位置部分是否仅可访问SSL（当Ingress包含证书时默认为True）	布尔
nginx.ingress.kubernetes.io/force-ssl-redirect	即使Ingress未启用TLS，也强制重定向到HTTPS	布尔
nginx.ingress.kubernetes.io/app-root	定义Controller必须重定向的应用程序根，如果它在'/'上下文中	串
nginx.ingress.kubernetes.io/use-regex	指示Ingress上定义的路径是否使用正则表达式	布尔

vim rewrite.yml

apiVersion: extensions/v1beta1
kind: Ingress # 注意类型
metadata:
  name: nginx-rewrite
  annotations:
    # 跳转的目标域名
    nginx.ingress.kubernetes.io/rewrite-target: www.nginx-basic-auth.com:30197
spec:
  rules:
  - host: www.jump.com # 拦截的域名
    http:
      paths:
      - path: /
        backend:
          serviceName: nginx-svc-http # 上面的 service 的 metadata.name
          servicePort: 8090 # 上面service 的端口

kubectl apply -f rewrite.yml

# 查看ingress
[root@k8s-master https]# kubectl get ingress
NAME                  HOSTS                      ADDRESS         PORTS     AGE
nginx-basic-auth      www.nginx-basic-auth.com   10.100.49.226   80        23m
nginx-ingress-http    www.nginx-svc-http.com     10.100.49.226   80        77m
nginx-ingress-https   www.nginx-svc-https.com    10.100.49.226   80, 443   40m
nginx-rewrite         www.nginx-basic-auth.com                   80        5s

# 查看 ingress 的暴露端口
[root@k8s-master ingress]# kubectl get svc -n ingress-nginx
NAME            TYPE       CLUSTER-IP      EXTERNAL-IP   PORT(S)                      AGE
ingress-nginx   NodePort   10.100.49.226   <none>        80:30197/TCP,443:31898/TCP   28s

# 浏览器访问 使用 http 端口 会自动跳转到 basic-auth 页面
http://www.jump.com:30197