1、简述及其原理
service可以通过两种方式将服务暴露出去
- LoadBlancer
- Nodeport
但是这两种方式都有自己的缺陷
- LoadBalancer Service 通常用于与公有云厂商对接，当然也可以自行实现其接口以完成与企业自建的负载均衡器对接。事实上LoadBanlacer Service的工作机制就是调用外部的负载均衡器以实现服务暴露，这依托于外部的负载均衡器。
- NodePort Service 它的实现机制其实就是在每个node节点上都开启一个端口，并通过iptables的dnat方式将这个宿主机端口映射至集群内部的service ip上。nodeport的问题是，当集群当中的服务越来越多的时候，在每个node上开启的端口也越来越多，最终我们要维护大量的端口映射关系，这使得业务管理工作变得非常复杂。
所以就需要通过引进新的资源对象，这个资源就是ingress
1.1概述
Ingress只需要一个NodePort或者一个LB就可以满足暴露多个Service的需求。Ingress相当于一个7层的负载均衡器，是kubernetes对反向代理的一个抽象，它的工作原理类似于Nginx，可以理解成在Ingress里建立诸多映射规则，Ingress Controller通过监听这些配置规则并转化成Nginx的反向代理配置 , 然后对外部提供服务。
ingress组成：
- ingress：kubernetes中的一个对象，作用是定义请求如何转发到service的规则
- ingress controller：具体实现反向代理及负载均衡的程序，对ingress定义的规则进行解析，根据配置的规则来实现请求转发
-
负载均衡器：既然ingress可以看成一个七层负载均衡，能做到对应用层的负载。那么它就会基于现有的七层负载均衡器服务进行实现。常见的有
- Nginx Ingress
- Kong Ingress
- Traefik Ingress
- HAProxy Ingress
- Istio Ingress
- APISIX Ingress
1.2原理
image.png
- 用户编写Ingress规则，说明哪个域名对应kubernetes集群中的哪个Service
- Ingress控制器动态感知Ingress服务规则的变化，然后生成一段对应的Nginx反向代理配置
- Ingress控制器会将生成的Nginx配置写入到一个运行着的Nginx服务中，并动态更新
- 到此为止，其实真正在工作的就是一个Nginx了，内部配置了用户定义的请求转发规则
2、配置部署
负载均衡器以nginx为例
在github上已经托管了相应的代码：https://github.com/kubernetes/ingress-nginx
ingress-nginx的yanl部署文件地址：https://raw.githubusercontent.com/kubernetes/ingress-nginx/main/deploy/static/provider/kind/deploy.yaml
注意：在此yaml文件当中以包含前端service，所以前端service不必重新创建
yaml文件当中部署时所需要的镜像下载出错，可以替换为国内镜像仓库中的镜像
我这里替换的镜像为
- registry.cn-hangzhou.aliyuncs.com/google_containers/nginx-ingress-controller:v1.1.0
- registry.cn-hangzhou.aliyuncs.com/google_containers/kube-webhook-certgen:v1.1.1
3、创建ingress资源
3.1创建后端deployment
apiVersion: apps/v1
kind: Deployment
metadata:
name: web-test1
labels:
release: cannary
resource: ingress
spec:
selector:
matchLabels:
app: web1
release: cannary
replicas: 2
template:
metadata:
labels:
app: web1
release: cannary
spec:
containers:
- name: web-test1
image: registry.cn-hangzhou.aliyuncs.com/jan29/web-test1:v1.0
ports:
- name: web1
containerPort: 80
---
apiVersion: apps/v1
kind: Deployment
metadata:
name: web-test2
labels:
release: cannary
resource: ingress
spec:
replicas: 2
selector:
matchLabels:
app: web2
release: cannary
template:
metadata:
labels:
app: web2
release: cannary
spec:
containers:
- name: web-test2
image: registry.cn-hangzhou.aliyuncs.com/jan29/web-test2:v1.0
ports:
- name: web2
containerPort: 80
创建两个pod控制器，分别对应两组pod，做两个后端。一组pod名称为web-test1，一组pod名称为web-test2
3.2创建后端service
apiVersion: v1
kind: Service
metadata:
name: web-test1
spec:
selector:
app: web1
release: cannary
ports:
- name: web-test1
port: 80
targetPort: 80
---
apiVersion: v1
kind: Service
metadata:
name: web-test2
spec:
selector:
app: web2
release: cannary
ports:
- name: web-test2
port: 80
targetPort: 80
创建两个后端service，此处service只做后端pod的选择，为了让ingress所选择到后端pod。
3.3创建ingress资源
3.3.1通过虚拟主机的方式使用资源
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
name: ingress-web
namespace: default
annotations:
kubernetes.io/ingress.class: "nginx"
spec:
rules:
- host: test1.example.com
http:
paths:
- path:
pathType: ImplementationSpecific
backend:
service:
name: web-test1
port:
number: 80
- host: test2.example.com
http:
paths:
- path:
pathType: ImplementationSpecific
backend:
service:
name: web-test2
port:
number: 80
3.3.2验证
[root@master ingress]# kubectl get svc -n ingress-nginx
NAME TYPE CLUSTER-IP EXTERNAL-IP PORT(S) AGE
ingress-nginx-controller NodePort 10.99.49.192 <none> 80:31150/TCP,443:32578/TCP 2d3h
ingress-nginx-controller-admission ClusterIP 10.111.246.80 <none> 443/TCP 2d3h
image.png
3.3.2通过url路径的方式使用资源
只需要修改path字段，更改为/test1，/test2即可。需要自己提前将镜像做好镜像测试
3.4配置ingress TLS
[root@master key1]# openssl genrsa -out tls.key 2048
[root@master key1]# openssl req -new -x509 -key tls.key -out tls.crt -subj /C=CN/ST=Beijing/O=test/CN=test
[root@master key1]# kubectl create secret tls web-ingress-secret --cert=tls.crt --key=tls.key
secret/web-ingress-secret created
创建TLS证书
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
name: ingress-web
namespace: default
annotations:
kubernetes.io/ingress.class: "nginx"
spec:
tls:
- hosts:
- test1.example.com
secretName: web-ingress-secret
- hosts:
- test2.example.com
secretName: web-ingress-secre
rules:
- host: test1.example.com
http:
paths:
- path:
pathType: ImplementationSpecific
backend:
service:
name: web-test1
port:
number: 80
- host: test2.example.com
http:
paths:
- path:
pathType: ImplementationSpecific
backend:
service:
name: web-test2
port:
number: 80
验证
image.png
