ingress

ingress是一个API对象，和其他对象一样，通过yaml文件来配置。ingress通过http或https暴露集群内部service，给service提供外部URL、负载均衡、SSL/TLS能力以及基于host的方向代理。ingress要依靠ingress-controller来具体实现以上功能。

Kubernetes中为了实现服务实例间的负载均衡和不同服务间的服务发现，创造了Serivce对象，同时又为从集群外部访问集群创建了Ingress对象。

工作原理

(1)ingress controller通过和kubernetes api交互,动态的去感知集群中ingress规则变化;

(2)然后读取它，按照自定义的规则，规则就是写明了哪个域名对应哪个service，生成一段nginx配置;

(3)再写到nginx-ingress-controller的pod里，这个Ingress controller的pod里运行着一个Nginx服务，

控制器会把生成的nginx配置写入/etc/nginx.conf文件中;

(4)然后reload一下使配置生效。以此达到域名分配配置和动态更新的问题;

Ingress可以解决以下问题

(1)动态配置服务

如果按照传统方式,当新增加一个服务时,我们可能需要在流量入口加一个反向代理指向我们新的k8s服务.而如果用了Ingress,只需要配置好这个服务,当服务启动时,会自动注册到Ingress中,不需要额外的操作.

(2)减少不必要的端口暴露

配置过k8s的都清楚,第一步是要关闭防火墙的,主要原因是k8s的很多服务会以NodePort方式映射出去,这样就相当于给宿主机打了很多孔,既不安全也不优雅.而Ingress可以避免这个问题,除了Ingress自身服务可能需要映射出去,其他服务都不需要用NodePort方式。

在这里插入图片描述

ingress 规则

每一个HTTP规则包含以下信息：

  • 一个可选的host。该规则适用于通过指定的IP地址进行的所有入站HTTP通信。如果提供一个host(例如，foo.bar.com)，这个规则是适用于这一个host

  • 一个paths（例如 /testpath）的列表。每一个path都有与之关联的serviceName和servicePort,在负载均衡器将流量导向所引用的服务之前，主机和路径必须匹配传入请求的内容

  • 后端是服务和端口名称的组合。对与规则的主机和路径匹配的入口的HTTP(和HTTPS)请求将发送到列出的后端。

默认后端

没有规则的ingress把所有的流量都转发到一个默认后端。默认后端通常是Ingress控制器的一个配置选项，并没有在Ingress资源中指定。

如果没有任何主机或路径匹配Ingress对象中的HTTP请求，则流量将路由到默认后端。

1. 部署 Ingress-Nginx

ingress官网

Github地址

官方网址：https://kubernetes.github.io/ingress-nginx/deploy/#bare-metal

kubectl apply -f https://raw.githubusercontent.com/kubernetes/ingress-nginx/controller-v0.40.2/deploy/static/provider/baremetal/deploy.yaml

https://raw.githubusercontent.com/kubernetes/ingress-nginx/master/deploy/static/mandatory.yaml

apiVersion: apps/v1

kind: Deployment

metadata:

name: nginx-ingress-controller

namespace: ingress-nginx

labels:

app.kubernetes.io/name: ingress-nginx

app.kubernetes.io/part-of: ingress-nginx

spec:

replicas: 1

selector:

matchLabels:

app.kubernetes.io/name: ingress-nginx

app.kubernetes.io/part-of: ingress-nginx

template:

metadata:

labels:

app.kubernetes.io/name: ingress-nginx

app.kubernetes.io/part-of: ingress-nginx

annotations:

prometheus.io/port: “10254”

prometheus.io/scrape: “true”

spec:

serviceAccountName: nginx-ingress-serviceaccount

containers:

  • name: nginx-ingress-controller

image: quay.io/kubernetes-ingress-controller/nginx-ingress-controller:0.25.0

args:

  • /nginx-ingress-controller

  • –configmap=$(POD_NAMESPACE)/nginx-configuration

  • –tcp-services-configmap=$(POD_NAMESPACE)/tcp-services

  • –udp-services-configmap=$(POD_NAMESPACE)/udp-services

  • –publish-service=$(POD_NAMESPACE)/ingress-nginx

  • –annotations-prefix=nginx.ingress.kubernetes.io

securityContext:

allowPrivilegeEscalation: true

capabilities:

drop:

  • ALL

add:

  • NET_BIND_SERVICE

www-data -> 33

runAsUser: 33

env:

  • name: POD_NAME

valueFrom:

fieldRef:

fieldPath: metadata.name

  • name: POD_NAMESPACE

valueFrom:

fieldRef:

fieldPath: metadata.namespace

ports:

  • name: http

containerPort: 80

  • name: https

containerPort: 443

livenessProbe:

failureThreshold: 3

httpGet:

path: /healthz

port: 10254

scheme: HTTP

initialDelaySeconds: 10

periodSeconds: 10

successThreshold: 1

timeoutSeconds: 10

readinessProbe:

failureThreshold: 3

httpGet:

path: /healthz

port: 10254

scheme: HTTP

periodSeconds: 10

successThreshold: 1

timeoutSeconds: 10

下载yaml 并创建

先获取 yaml 文件，可以用这个文件来创建或者删除 Ingress

wget https://raw.githubusercontent.com/kubernetes/ingress-nginx/controller-v0.40.2/deploy/static/provider/baremetal/deploy.yaml

安装时发现 yaml 文件中 ValidatingWebhookConfiguration 版本报错，先获取版本

[root@k8s-master01 yaml]# kubectl explain ValidatingWebhookConfiguration

KIND: ValidatingWebhookConfiguration

VERSION: admissionregistration.k8s.io/v1beta1

修改 yaml 中 ValidatingWebhookConfiguration 对应的 pod 的版本

安装 Ingress

kubectl apply -f deploy.yaml

删除 Ingress

kubectl delete -f deploy.yaml

2. 简单的扇出

根据所请求的HTTP URI，扇出配置将流量从单个IP地址路由到多个服务。一个入口允许您将负载平衡器的数量保持到最小。例如，设置如下

kubernetes pod中的IP只在集群网络内部可见，我们需要在边界设置一个东西，让它能够接收ingress的流量并将它们转发到正确的端点上。这个东西一般是高可用的loadbalancer。使用Ingress能够允许你将loadbalancer的个数降低到最少，

例如，假如你想要创建这样的一个设置：

在这里插入图片描述

apiVersion: networking.k8s.io/v1beta1

kind: Ingress

metadata:

name: simple-fanout-example

annotations:

nginx.ingress.kubernetes.io/rewrite-target: /

spec:

rules:

  • host: foo.bar.com

http:

paths:

  • path: /foo

backend:

serviceName: service1

servicePort: 4200

  • path: /bar

backend:

serviceName: service2

servicePort: 8080

3. 基于 名称的虚拟主机

Name-based的虚拟主机在同一个IP地址下拥有多个主机名。

在这里插入图片描述

例如：ingress说明基于Host header的后端loadbalancer的路由请求：

apiVersion: extensions/v1beta1

kind: Ingress

metadata:

name: test

spec:

rules:

  • host: foo.bar.com

http:

paths:

  • backend:

serviceName: s1

servicePort: 80

  • host: bar.foo.com

http:

paths:

  • backend:

serviceName: s2

servicePort: 80

默认backend：一个没有rule的ingress

所有流量都将发送到一个默认backend。

你可以用该技巧通知loadbalancer如何找到你网站的404页面，通过制定一些列rule和一个默认backend的方式。如果请求header中的host不能跟ingress中的host匹配，并且/或请求的URL不能与任何一个path匹配，则流量将路由到你的默认backend。

如果您创建一个没有在规则中定义任何主机的Ingress资源，那么可以匹配到Ingress控制器IP地址的任何web流量，而不需要基于名称的虚拟主机。例如，下面的Ingress资源将把first.bar.com请求的流量路由到service1, second.foo.com路由到service2，将任何没有在request中定义主机名(即没有显示请求头)的流量路由到service3。

apiVersion: networking.k8s.io/v1beta1

kind: Ingress

metadata:

name: name-virtual-host-ingress

spec:

rules:

  • host: first.bar.com

http:

paths:

  • backend:

serviceName: service1

servicePort: 80

  • host: second.foo.com

http:

paths:

  • backend:

serviceName: service2

servicePort: 80

  • http:

paths:

  • backend:

serviceName: service3

servicePort: 80

2. Ingress HTTP 代理访问示例

先创建两个 Pod 和 ClusterIP Service，提供 Nginx 内部访问

vim deployment-nginx.yaml

apiVersion: extensions/v1beta1

kind: Deployment

metadata:

name: nginx-dm

spec:

replicas: 2

selector:

matchLabels:

name: nginx

template:

metadata:

labels:

name: nginx

spec:

containers:

  • name: nginx

image: wangyanglinux/myapp:v1

ports:

  • name: http

containerPort: 80

定义nginx 的 svc

apiVersion: v1

kind: Service

metadata:

name: nginx-svc

spec:

ports:

  • port: 80

targetPort: 80

protocol: TCP

selector:

name: nginx

再创建 Ingress 将服务暴露到外部

apiVersion: extensions/v1beta1 # kubectl explain ingress

kind: Ingress # 类型

metadata:

name: nginx-test # 名字

spec:

rules: # 规则，List，可配置多个域名。

  • host: www.qcq.com # 主机域名

http:

paths: # 路径

  • path: / # 域名的根路径

backend:

serviceName: nginx-svc # 这里链接的是上面创建的 svc 的名称

servicePort: 80 # svc 的端口

查看

kubectl get ingress

Ingress 资源清单中的 spec.rules 最终会转换为 nginx 的虚拟主机配置，进入到 ingress-nginx 容器中查看配置

kubectl exec ingress-nginx-controller-78fd88bd5-sbrz5 -n ingress-nginx -it – /bin/bash

cat nginx.conf

修改 本地hosts 文件，设置上面的域名解析

192.168.66.10 www.qcq.com

查看端口

[root@k8s-master01 ingress]# kubectl get svc -n ingress-nginx

NAME TYPE CLUSTER-IP EXTERNAL-IP PORT(S) AGE

ingress-nginx-controller NodePort 10.96.189.184 80:31534/TCP,443:31345/TCP 10h

域名访问

在这里插入图片描述

3. Ingress HTTPS 代理访问示例

你可以通过指定包含TLS私钥和证书的secret来加密Ingress。 目前，Ingress仅支持单个TLS端口443，

TLS secret中必须包含名为 tls.crt 和 tls.key 的密钥，这里面包含了用于TLS的证书和私钥

创建证书，以及 cert 存储方式

生成私钥和证书

openssl req -x509 -sha256 -nodes -days 365 -newkey rsa:2048 -keyout tls.key -out tls.crt -subj “/CN=nginxsvc/O=nginxsvc”

kubectl 创建 secret 资源，这个 secret 后面要用

kubectl create secret tls tls-secret --key tls.key --cert tls.crt

查看kubectl 的 secret 资源

kubectl get secret tls-secret

创建 Deployment 和 Service，这里仍使用上面创建的 Deployment

创建 Ingress

apiVersion: extensions/v1beta1

kind: Ingress

metadata:
自我介绍一下，小编13年上海交大毕业，曾经在小公司待过，也去过华为、OPPO等大厂，18年进入阿里一直到现在。

深知大多数Java工程师，想要提升技能，往往是自己摸索成长或者是报班学习，但对于培训机构动则几千的学费，着实压力不小。自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！

因此收集整理了一份《2024年Java开发全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友，同时减轻大家的负担。img

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，基本涵盖了95%以上Java开发知识点，真正体系化！

由于文件比较大，这里只是将部分目录截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频，并且会持续更新！

如果你觉得这些内容对你有帮助，可以扫码获取！！（备注Java获取）

img

最后

无论是哪家公司，都很重视基础，大厂更加重视技术的深度和广度，面试是一个双向选择的过程，不要抱着畏惧的心态去面试，不利于自己的发挥。同时看中的应该不止薪资，还要看你是不是真的喜欢这家公司，是不是能真的得到锻炼。

针对以上面试技术点，我在这里也做一些分享，希望能更好的帮助到大家。

《互联网大厂面试真题解析、进阶开发核心学习笔记、全套讲解视频、实战项目源码讲义》点击传送门即可获取！
转存中…(img-YiEV7Tqt-1713211528937)]

[外链图片转存中…(img-Qhx2k3mQ-1713211528937)]

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，基本涵盖了95%以上Java开发知识点，真正体系化！

由于文件比较大，这里只是将部分目录截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频，并且会持续更新！

如果你觉得这些内容对你有帮助，可以扫码获取！！（备注Java获取）

img

最后

无论是哪家公司，都很重视基础，大厂更加重视技术的深度和广度，面试是一个双向选择的过程，不要抱着畏惧的心态去面试，不利于自己的发挥。同时看中的应该不止薪资，还要看你是不是真的喜欢这家公司，是不是能真的得到锻炼。

针对以上面试技术点，我在这里也做一些分享，希望能更好的帮助到大家。

[外链图片转存中…(img-KH0BLuPO-1713211528937)]

[外链图片转存中…(img-s37mauxO-1713211528937)]

[外链图片转存中…(img-gspmo2Gi-1713211528938)]

《互联网大厂面试真题解析、进阶开发核心学习笔记、全套讲解视频、实战项目源码讲义》点击传送门即可获取！

# kubernetes # nginx # 容器
Logo
K8S/Kubernetes

K8S/Kubernetes社区为您提供最前沿的新闻资讯和知识内容

更多推荐

【深度】阿里巴巴万级规模 K8s 集群全局高可用体系之美

作者 |  韩堂、柘远、沉醉来源 | 阿里巴巴云原生公众号​前言台湾作家林清玄在接受记者采访的时候，如此评价自己 30 多年写作生涯：“第一个十年我才华横溢，‘贼光闪现’，令周边黯然失色；第二个十年，我终于‘宝光现形’，不再去抢风头，反而与身边的美丽相得益彰；进入第三个十年，繁华落尽见真醇，我进入了‘醇光初现’的阶段，真正体味到了境界之美”。​长夜有穷，真水无香。领略过了 K8s“身在江

avatar K8S/Kubernetes

如何基于 K8s 构建下一代 DevOps 平台？

作者 | 孙健波（天元）导读：当前云原生 DevOps 体系现状如何？面临哪些挑战？如何通过 OAM 解决云原生 DevOps 场景下的诸多问题？云原生开发应用模型 OAM(Open Application Model) 社区核心成员孙健波将为大家一一解答，并分享如何基于 OAM 和 Kubernetes 打造无限能力的下一代 DevOps 平台。什么是 DevOps？为什么基于 Kub

avatar K8S/Kubernetes

k8s 火了！

2020，上云之年，产品云端化成为一种趋势。在一线城市，很多公司都已经构建了自己的私有云环境，比如阿里云、网易云、华为云等。而Kubernetes 作为基于容器编排领域的王者，具备扩展...

avatar K8S/Kubernetes