1、简述及其原理

service可以通过两种方式将服务暴露出去

• LoadBlancer
• Nodeport

但是这两种方式都有自己的缺陷

• LoadBalancer Service 通常用于与公有云厂商对接，当然也可以自行实现其接口以完成与企业自建的负载均衡器对接。事实上LoadBanlacer Service的工作机制就是调用外部的负载均衡器以实现服务暴露，这依托于外部的负载均衡器。
• NodePort Service 它的实现机制其实就是在每个node节点上都开启一个端口，并通过iptables的dnat方式将这个宿主机端口映射至集群内部的service ip上。nodeport的问题是，当集群当中的服务越来越多的时候，在每个node上开启的端口也越来越多，最终我们要维护大量的端口映射关系，这使得业务管理工作变得非常复杂。

所以就需要通过引进新的资源对象，这个资源就是ingress

1.1概述

Ingress只需要一个NodePort或者一个LB就可以满足暴露多个Service的需求。Ingress相当于一个7层的负载均衡器，是kubernetes对反向代理的一个抽象，它的工作原理类似于Nginx，可以理解成在Ingress里建立诸多映射规则，Ingress Controller通过监听这些配置规则并转化成Nginx的反向代理配置 , 然后对外部提供服务。
ingress组成：

• ingress：kubernetes中的一个对象，作用是定义请求如何转发到service的规则
• ingress controller：具体实现反向代理及负载均衡的程序，对ingress定义的规则进行解析，根据配置的规则来实现请求转发
• 负载均衡器：既然ingress可以看成一个七层负载均衡，能做到对应用层的负载。那么它就会基于现有的七层负载均衡器服务进行实现。常见的有
  • Nginx Ingress
  • Kong Ingress
  • Traefik Ingress
  • HAProxy Ingress
  • Istio Ingress
  • APISIX Ingress

1.2原理

image.png

1. 用户编写Ingress规则，说明哪个域名对应kubernetes集群中的哪个Service
2. Ingress控制器动态感知Ingress服务规则的变化，然后生成一段对应的Nginx反向代理配置
3. Ingress控制器会将生成的Nginx配置写入到一个运行着的Nginx服务中，并动态更新
4. 到此为止，其实真正在工作的就是一个Nginx了，内部配置了用户定义的请求转发规则

2、配置部署

负载均衡器以nginx为例
在github上已经托管了相应的代码：https://github.com/kubernetes/ingress-nginx
ingress-nginx的yanl部署文件地址：https://raw.githubusercontent.com/kubernetes/ingress-nginx/main/deploy/static/provider/kind/deploy.yaml

注意：在此yaml文件当中以包含前端service，所以前端service不必重新创建
yaml文件当中部署时所需要的镜像下载出错，可以替换为国内镜像仓库中的镜像
我这里替换的镜像为

• registry.cn-hangzhou.aliyuncs.com/google_containers/nginx-ingress-controller:v1.1.0
• registry.cn-hangzhou.aliyuncs.com/google_containers/kube-webhook-certgen:v1.1.1

3、创建ingress资源

3.1创建后端deployment

apiVersion: apps/v1
kind: Deployment
metadata:
  name: web-test1
  labels:
    release: cannary
    resource: ingress
spec:
  selector:
    matchLabels:
      app: web1
      release: cannary
  replicas: 2
  template:
    metadata:
      labels:
        app: web1
        release: cannary
    spec:
      containers:
      - name: web-test1
        image: registry.cn-hangzhou.aliyuncs.com/jan29/web-test1:v1.0
        ports:
        - name: web1
          containerPort: 80
---
apiVersion: apps/v1
kind: Deployment
metadata:
  name:  web-test2
  labels:
    release: cannary
    resource: ingress
spec:
  replicas: 2
  selector:
    matchLabels:
      app: web2
      release: cannary
  template:
    metadata:
      labels:
        app: web2
        release: cannary
    spec:
      containers:
      - name: web-test2
        image: registry.cn-hangzhou.aliyuncs.com/jan29/web-test2:v1.0
        ports:
        - name: web2
          containerPort: 80

创建两个pod控制器，分别对应两组pod，做两个后端。一组pod名称为web-test1，一组pod名称为web-test2

3.2创建后端service

apiVersion: v1
kind: Service
metadata:
  name: web-test1
spec:
  selector:
    app: web1
    release: cannary
  ports:
    - name: web-test1
      port: 80
      targetPort: 80
---
apiVersion: v1
kind: Service
metadata:
  name: web-test2
spec:
  selector:
    app: web2
    release: cannary
  ports:
    - name: web-test2
      port: 80
      targetPort: 80

创建两个后端service，此处service只做后端pod的选择，为了让ingress所选择到后端pod。

3.3创建ingress资源

3.3.1通过虚拟主机的方式使用资源

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: ingress-web
  namespace: default
  annotations:
    kubernetes.io/ingress.class: "nginx"
spec:
  rules:
  - host: test1.example.com
    http:
      paths:
      - path:
        pathType: ImplementationSpecific
        backend:
          service:
            name: web-test1
            port:
              number: 80
  - host: test2.example.com
    http:
      paths:
      - path:
        pathType: ImplementationSpecific
        backend:
          service:
            name: web-test2
            port:
              number: 80

3.3.2验证

[root@master ingress]# kubectl get svc -n ingress-nginx
NAME                                 TYPE        CLUSTER-IP      EXTERNAL-IP   PORT(S)                      AGE
ingress-nginx-controller             NodePort    10.99.49.192    <none>        80:31150/TCP,443:32578/TCP   2d3h
ingress-nginx-controller-admission   ClusterIP   10.111.246.80   <none>        443/TCP                      2d3h

image.png

3.3.2通过url路径的方式使用资源

只需要修改path字段，更改为/test1，/test2即可。需要自己提前将镜像做好镜像测试

3.4配置ingress TLS

[root@master key1]# openssl genrsa -out tls.key 2048
[root@master key1]# openssl req -new -x509 -key tls.key -out tls.crt -subj /C=CN/ST=Beijing/O=test/CN=test
[root@master key1]# kubectl create secret tls web-ingress-secret --cert=tls.crt --key=tls.key 
secret/web-ingress-secret created

创建TLS证书

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: ingress-web
  namespace: default
  annotations:
    kubernetes.io/ingress.class: "nginx"
spec:
  tls:
   - hosts:
     - test1.example.com
     secretName: web-ingress-secret
   - hosts:
     - test2.example.com
     secretName: web-ingress-secre
  rules: 
  - host: test1.example.com
    http:
      paths: 
      - path:
        pathType: ImplementationSpecific
        backend:
          service:
            name: web-test1
            port:
              number: 80
  - host: test2.example.com
    http:
      paths:
      - path:
        pathType: ImplementationSpecific
        backend:
          service:
            name: web-test2
            port:
              number: 80

验证

image.png