kubernetes（k8s）ingress tls和path的使用

Posted 2023-03-09

参考技术A 在kubernetes（k8s）ingress-traefik部署 链接： https://www.jianshu.com/p/0f5d38022281 中，我们使用的是http默认的80端口，大部分场景下我们都会使用 https 来访问我们的服务，现在我们将使用一个自签名的证书，当然如果有在一些正规机构购买的 CA 证书是最好的，这样任何人访问你的服务的时候都是受浏览器信任的证书。使用下面的 openssl 命令生成 CA 证书：

现在有了证书，我们可以使用 kubectl 创建一个 secret 对象来存储上面的证书：

前面使用的是 Traefik 的默认配置，现在我们来配置 Traefik，让其支持 https：(traefik.toml)

上面的配置文件中我们配置了 http 和 https 两个入口，并且配置了将 http 服务强制跳转到 https 服务，这样我们所有通过 traefik 进来的服务都是 https 的，要访问 https 服务，当然就得配置对应的证书了，可以看到我们指定了 CertFile 和 KeyFile 两个文件，由于 traefik pod 中并没有这两个证书，所以我们要想办法将上面生成的证书挂载到 Pod 中去。
traefik.toml 配置文件通过 ConfigMap 对象挂载到 traefik pod 中去：

部署 traefik pod 的 yaml 文件：

启动参数中通过 configfile 指定了 traefik.toml 配置文件，这个配置文件是通过 volume 挂载进来的。然后更新下 traefik pod:

更新完成后查看 traefik pod 的日志，如果出现类似于上面的一些日志信息，证明更新成功了。现在访问 traefik 的 dashboard 会跳转到 https 的地址，并会提示证书相关的报警信息，这是因为我们的证书是自建的，并不受浏览器信任：

其实上面的 TLS 认证方式已经成功了，接下来我们通过一个实例来说明下 ingress 中 path 的用法，这里部署了3个简单的 web 服务，通过一个环境变量来标识当前运行的是哪个服务：（backend.yaml）

可以看到上面我们定义了3个 Deployment，分别对应3个 Service：

然后创建一个 ingress 对象来访问上面的3个服务：（example-ingress.yaml）

注意这里定义的 ingress 对象和之前有一个不同的地方是增加了 path 路径的定义，不指定的话默认是 '/'，创建该 ingress 对象:

现在 在本地 hosts 里面给域名 example.qienda.com 添加对应的 hosts 解析，然后就可以在浏览器中访问，可以看到默认也会跳转到 https 的页面：

这里需要注意的是根路径/必须在 ingress 对象中声明的时候必须放在最后面，不然就都被/匹配到拦截到了.

如果不同的 ingress 对象是供不同的域名进行使用的，然后不同的域名的证书还不相同，这样想使用上面 traefik 提供的统一的 https 证书就不行了，这个时候就可以单独为当前的服务提供单独的证书就可以，同样用证书文件创建一个 secret 对象，然后在 ingress 对象中声明一个 tls 对象即可，比如上面的 example.qienda.com 我们可以单独指定一个证书文件：