ingress 是除了 hostport nodeport clusterIP以及云环境专有的负载均衡器外的访问方式,官方提供了Nginx ingress controller。
通常情况下，service和pod的IP可以被集群网络访问。外部访问的所有流量被丢弃或转发到别处。ingress是允许入站连接到达群集服务的规则集合.可以为外部提供可访问服务的URL，流量负载均衡，可被终止的ssl连接，以及基于配置的虚拟主机。
配置服务器或负载平衡器是比想象中要难。大多数Web服务器的配置文件非常相似。虽然一些应有有一些奇怪的特点，但是我们可以用相似的逻辑去实现期望的结果。ingress体现了这一理念，ingress controller是用来处理所有共同特性的。
ingress controller通过监听/ingresses接口从而更新ingress 从而达到ingress的预期，这里我们先讲述怎么搭建ingress service
api: /apis/extensions/v1beta1/ingresses
使用官方的部署方式
git clone https://github.com/kubernetes/contrib
cd contrib/ingress/controllers/nginx
能翻墙的可以自己pull image，不过我翻墙相当慢，相关镜像最好从灵雀云时速云等的镜像市场拉，自行tag一下。
1.Default backend server
在部署ingress之前需要先部署Default backend server，实现了简单的ingress作为默认返回值，做了两件事
1）.为/提供服务，返回404
2）.在/healthz返回200
#创建rc default-http-backend
kubectl create -f examples/default-backend.yaml
#暴露端口
kubectl expose rc default-http-backend --port=80 --target-port=8080 --name=default-http-backend
2.创建ingress controller server
#默认是一个rc 可以根据具体情况自己修改
kubectl create -f examples/default/rc-default.yaml
使用calico等overlay网络可能导致hostport不可用，可以增加“hostNetwork: true” 配置启用host模式
3.创建http服务
kubectl run echoheaders --image=gcr.io/google_containers/echoserver:1.4 --replicas=1 --port=8080
kubectl expose deployment echoheaders --port=80 --target-port=8080 --name=echoheaders-x
kubectl expose deployment echoheaders --port=80 --target-port=8080 --name=echoheaders-y
4.添加ingress
kubectl create -f examples/ingress.yaml
查看kubectl get ing可以看到对应的ingress
5.验证
curl -H "Host:foo.bar.com" 127.0.0.1/foo
curl -H "Host:bar.baz.com" 127.0.0.1/bar
6.配置https
openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout /tmp/tls.key -out /tmp/tls.crt -subj "/CN=foo.bar.com"
kubectl create secret tls foo-secret --key /tmp/tls.key --cert /tmp/tls.crt
echo "
apiVersion: extensions/v1beta1
kind: Ingress
metadata:
name: foo
namespace: default
spec:
tls:
- hosts:
- foo.bar.com
secretName: foo-secret
rules:
- host: foo.bar.com
http:
paths:
- backend:
serviceName: echoheaders-x
servicePort: 80
path: /
" | kubectl create -f -
kubectl get ing
curl https://127.0.0.1 -H 'Host:foo.bar.com' -k
7. 默认证书配置，不配置则使用自签名证书
--default-ssl-certificate 添加默认页面ssl证书
echo " - --default-ssl-certificate=default/foo-secret" >>rc-default.yaml
8. 服务端跳转
默认配置访问ingress http,跳转https
在configmap 中ssl-redirect: "false" 关闭跳转
configmap 通过--nginx-configmap指定
例如：
apiVersion: v1
data:
ssl-redirect: "false"
kind: ConfigMap
metadata:
namespace: nginx-ingress
name: nginx
9关闭HSTS(强制客户端（如浏览器）使用HTTPS与服务器创建连接)
hsts=false
10 Kube-Lego实现密钥自动管理
例子：
https://github.com/jetstack/kube-lego
11 暴露TCP服务
默认不暴露TCP端口
--tcp-services-configmap 实现
apiVersion: v1
kind: ConfigMap
metadata:
name: tcp-configmap-example
data:
9000: "default/example-go:8080"
12暴露UDP端口
--udp-services-configmap 配置方式同tcp
13 Proxy Protocol
在nginx-configmap中启用
apiVersion: v1
data:
use-proxy-protocol: "true"
kind: ConfigMap
metadata:
namespace: nginx-ingress
name: nginx
14.自定义错误
实际就是通过更改官方例子中的custom-default-backend角色实现，通过X-Code 和 X-Format两个维度控制
通过aledbf/nginx-error-server:0.1 替换default-backend进行测试
curl -v http://10.10.10.150/ -H 'Accept: application/json'
curl -v http://10.10.10.150/
https://github.com/kubernetes/contrib/tree/b13fc59e59f56e74dfb613eb6f4fbda9c96e20f2/ingress/controllers/nginx/examples/custom-errors
15.状态页面
enable-vts-status=true
16.运行多个ingress
通过备注告诉哪个ingress controller添加该ingress
annotations:
kubernetes.io/ingress.class: "nginx"
不指出则会在所有ingreess 上面配置
17禁用 ingress
kubernetes.io/ingress.class设置为空或不存在的字符则不会再ingress controller 中加载
