ingress简单来讲，就是一个利用负载均衡的玩意，其主要用来解决使用NodePort暴露Service的端口时Node IP会漂移的问题。同时，若大量使用NodePort暴露主机端口，管理会非常混乱。
好的解决方案就是让外界通过域名去访问Service，而无需关心其Node IP及Port。那为什么不直接使用Nginx？这是因为在K8S集群中，如果每加入一个服务，我们都在Nginx中添加一个配置，其实是一个重复性的体力活，只要是重复性的体力活，我们都应该通过技术将它干掉。

参考文档：https://kubernetes.io/docs/concepts/services-networking/ingress/
注意线上要部署多副本模式，可以指定机器部署，也可以每台机器放一个ingress服务

Pod与Ingress的关系
通过label-selector相关联
通过Ingress Controller实现Pod的负载均衡
支持TCP/UDP 4层和HTTP 7层

1、部署ingress

部署文档：https://github.com/kubernetes/ingress-nginx/blob/master/docs/deploy/index.md

下载yaml文件：

wget https://raw.githubusercontent.com/kubernetes/ingress-nginx/master/deploy/mandatory.yaml

注意事项：
• 镜像地址修改成国内的：lizhenliang/nginx-ingress-controller:0.20.0
• 使用宿主机网络：hostNetwork: true

创建ingress:

[root@master ingress]# kubectl create -f mandatory.yaml

查看ingress服务：

[root@master ingress]# kubectl get all -n ingress-nginx
NAME                                            READY   STATUS    RESTARTS   AGE
pod/nginx-ingress-controller-79888fdc4c-qbpdb   1/1     Running   0          64s
NAME                                       DESIRED   CURRENT   UP-TO-DATE   AVAILABLE   AGE
deployment.apps/nginx-ingress-controller   1         1         1            1           66s

NAME                                                  DESIRED   CURRENT   READY   AGE
replicaset.apps/nginx-ingress-controller-79888fdc4c   1         1         1       65s

注意如果：
如果出现下面类似错误：
kubectl describe pod nginx-ingress-controller-7f44d6dccb-fn7rk -n ingress-nginx

可能是机器磁盘不够了，注意检测磁盘容量，这里我是被坑到了
其他控制器参考：
https://kubernetes.io/docs/concepts/services-networking/ingress/、

2、使用ingress (http)

编写ingress yam文件让service与ingress关联

[root@master ingress_test]# cat k8s_ingress.yaml
apiVersion: extensions/v1beta1
kind: Ingress
metadata:
  name: simple-nginx-example
  annotations:
    #配置重定向相关
    nginx.ingress.kubernetes.io/rewrite-target: /
spec:
  rules:
  - host: k8s.aicard001.com
    http:
      paths:
      - path: /
        backend:
          #匹配需要代理的service名字
          serviceName: my-service
          #对应clusterip端口
          servicePort: 80

创建：

kubectl apply -f k8s_ingress.yaml

查看我们域名绑定策略是否正确：

[root@master ingress_test]# kubectl get ingress
NAME                    HOSTS                ADDRESS   PORTS   AGE
simple-fanout-example   test.aicard001.com             80      37m

查看ingress绑定的机器：

[root@master ~]# kubectl get pods -n ingress-nginx -o wide
NAME                                        READY     STATUS             RESTARTS   AGE       IP             NODE
default-http-backend-757754bc6b-x7g8q       1/1       Running            0          1d        172.17.32.8    192.168.1.40
nginx-ingress-controller-7f44d6dccb-mgdlg   1/1       Running            0          1d        192.168.1.42   192.168.1.42

绑定域名解析，可以本机host上绑定，也能在云服务商，云解析处绑定：
我们绑定：k8s.aicard001.com -->192.168.1.40
此时访问：k8s.aicard001.com 便能正确代理到service

注意，如果你有多个虚拟主机，ingress支持定义多个虚拟主机：

当多个项目使用同一个ingress的时候，这个时候需要更加项目名来区分具体代理到那个后端了：
例如：

此时，访问原来的项目就是：http://k8s.aicard001.com/k8s

3、使用ingress(https)

利用cfssl颁发证书：

1 生成ca模板并改信息

cfssl print-defaults csr >ca-csr.json

[root@master https]# cat ca-csr.json
{
    "CN": "xianrenqiu",
    "key": {
        "algo": "rsa",
        "size": 2048
    },
    "names": [
        {
            "C": "CN",
            "L": "Hangzhou",
            "ST": "Hangzhou"
        }
    ]
}

2 生成默认配置文件：（不用做变动）

cfssl print-defaults csr >liaochao-csr.json

3 生成网站所需要的配置文件：

[root@master https]# cat  liaochao-csr.json
{
    "CN": "www.liaochao.com",
    "key": {
        "algo": "rsa",
        "size": 2048
    },
    "names": [
        {
            "C": "CN",
            "L": "Beijing",
            "ST": "Beijing"
        }
    ]
}

4 初始化ca证书文件

cfssl gencert --initca ca-csr.json |cfssljson -bare ca -

5 初始化网站证书文件

cfssl gencert -ca=ca.pem -ca-key=ca-key.pem --config=ca-config.json --profile=www liaochao-csr.json |cfssljson -bare server

此时生成的 server-key.pem server.pem 2个私钥就是我们所需要的
如果我们在服务商处申请到了证书，上面的步骤都可以省略

将生成的密钥导入到集群中

  kubectl create secret tls aicard --key 2_aicard001.com.key --cert 1_aicard001.com_bundle.crt

检查

[root@master ingress_test]# kubectl get secret
NAME                   TYPE                                  DATA   AGE
aicard                 kubernetes.io/tls                     2      26m

生成https的网站文件

[root@master ingress_test]# cat https_aicard.yaml
apiVersion: extensions/v1beta1
kind: Ingress
metadata:
  name: tls-k8s-ingress
spec:
  tls:
  - hosts:
    - k8s.aicard001.com
    secretName: aicard
  rules:
    - host: k8s.aicard001.com
      http:
        paths:
        - path: /
          backend:
            serviceName: my-service
            servicePort: 80

创建：

kubectl apply -f https_aicard.yaml

查看是否绑定

[root@master ingress_test]# kubectl get ingress
NAME                    HOSTS                ADDRESS   PORTS     AGE
simple-nginx-example    k8s.aicard001.com              80        83m
tls-k8s-ingress         k8s.aicard001.com              80, 443   25m

https访问

此时，如果是字签证书，我们在win机器上面的hosts文件中加入相对于的域名，现在我们访问域名http会自动跳转https，因为这个证书不信任这个域名所以会显示不安全。