使用下面的 openssl 命令生成 CA 證書：

$ openssl req -newkey rsa:2048 -nodes -keyout tls.key -x509 -days 365 -out tls.crt

現(xiàn)在我們有了證書，我們可以使用 kubectl 創(chuàng)建一個 secret 對象來存儲上面的證書：

$ kubectl create secret generic traefik-cert --from-file=tls.crt --from-file=tls.key -n kube-system

配置 Traefik

前面我們使用的是 Traefik 的默認配置，現(xiàn)在我們來配置 Traefik，讓其支持 https：

defaultEntryPoints = ["http", "https"][entryPoints][entryPoints.http]address = ":80"[entryPoints.http.redirect]entryPoint = "https[entryPoints.https]address = ":443"[entryPoints.https.tls][[entryPoints.https.tls.certificates]]CertFile = "/ssl/tls.crt"KeyFile = "/ssl/tls.key"

上面的配置文件中我們配置了 http 和 https 兩個入口，并且配置了將 http 服務(wù)強制跳轉(zhuǎn)到 https 服務(wù)，這樣我們所有通過 traefik 進來的服務(wù)都是 https 的，要訪問 https 服務(wù)，當(dāng)然就得配置對應(yīng)的證書了，可以看到我們指定了 CertFile 和 KeyFile 兩個文件，由于 traefik pod 中并沒有這兩個證書，所以我們要想辦法將上面生成的證書掛載到 Pod 中去，是不是前面我們講解過 secret 對象可以通過 volume 形式掛載到 Pod 中？至于上面的 traefik.toml 這個文件我們要怎么讓 traefik pod 能夠訪問到呢？還記得我們前面講過的 ConfigMap 嗎？我們是不是可以將上面的 traefik.toml 配置文件通過一個 ConfigMap 對象掛載到 traefik pod 中去：

$ kubectl create configmap traefik-conf --from-file=traefik.toml -n kube-system

現(xiàn)在就可以更改下上節(jié)課的 traefik pod 的 yaml 文件了：

kind: Deployment apiVersion: extensions/v1beta1 metadata:name: traefik-ingress-controllernamespace: kube-systemlabels:k8s-app: traefik-ingress-lb spec:replicas: 1selector:matchLabels:k8s-app: traefik-ingress-lbtemplate:metadata:labels:k8s-app: traefik-ingress-lbname: traefik-ingress-lbspec:serviceAccountName: traefik-ingress-controllerterminationGracePeriodSeconds: 60volumes:- name: sslsecret:secretName: traefik-cert- name: configconfigMap:name: traefik-conftolerations:- operator: "Exists"nodeSelector:kubernetes.io/hostname: mastercontainers:- image: traefikname: traefik-ingress-lbvolumeMounts:- mountPath: "/ssl"name: "ssl"- mountPath: "/config"name: "config"ports:- name: httpcontainerPort: 80hostPort: 80- name: httpscontainerPort: 443hostPort: 443- name: admincontainerPort: 8080args:- --configfile=/config/traefik.toml- --api- --kubernetes- --logLevel=INFO

?

和之前的比較，我們增加了 443 的端口配置，以及啟動參數(shù)中通過 configfile 指定了 traefik.toml 配置文件，這個配置文件是通過 volume 掛載進來的。然后更新下 traefik pod:

$ kubectl apply -f traefik.yaml $ kubectl logs -f traefik-ingress-controller-7dcfd9c6df-v58k7 -n kube-system time="2018-08-26T11:26:44Z" level=info msg="Server configuration reloaded on :80" time="2018-08-26T11:26:44Z" level=info msg="Server configuration reloaded on :443" time="2018-08-26T11:26:44Z" level=info msg="Server configuration reloaded on :8080"

更新完成后我們查看 traefik pod 的日志，如果出現(xiàn)類似于上面的一些日志信息，證明更新成功了。現(xiàn)在我們?nèi)ピL問 traefik 的 dashboard 會跳轉(zhuǎn)到 https 的地址，并會提示證書相關(guān)的報警信息，這是因為我們的證書是我們自建的，并不受瀏覽器信任，如果你是正規(guī)機構(gòu)購買的證書并不會出現(xiàn)改報警信息，你應(yīng)該可以看到我們常見的綠色標志：?

點擊下面的高級，我們可以強制讓其跳轉(zhuǎn)，這樣我們就可以正常訪問 traefik 的 dashboard 了。

配置 ingress

其實上面的 TLS 認證方式已經(jīng)成功了，接下來我們通過一個實例來說明下 ingress 中 path 的用法，這里我們部署了3個簡單的 web 服務(wù)，通過一個環(huán)境變量來標識當(dāng)前運行的是哪個服務(wù)：（backend.yaml）

kind: Deployment apiVersion: extensions/v1beta1 metadata:name: svc1 spec:replicas: 1template:metadata:labels:app: svc1spec:containers:- name: svc1image: cnych/example-web-serviceenv:- name: APP_SVCvalue: svc1ports:- containerPort: 8080protocol: TCP--- kind: Deployment apiVersion: extensions/v1beta1 metadata:name: svc2 spec:replicas: 1template:metadata:labels:app: svc2spec:containers:- name: svc2image: cnych/example-web-serviceenv:- name: APP_SVCvalue: svc2ports:- containerPort: 8080protocol: TCP--- kind: Deployment apiVersion: extensions/v1beta1 metadata:name: svc3 spec:replicas: 1template:metadata:labels:app: svc3spec:containers:- name: svc3image: cnych/example-web-serviceenv:- name: APP_SVCvalue: svc3ports:- containerPort: 8080protocol: TCP--- kind: Service apiVersion: v1 metadata:labels:app: svc1name: svc1 spec:type: ClusterIPports:- port: 8080name: httpselector:app: svc1--- kind: Service apiVersion: v1 metadata:labels:app: svc2name: svc2 spec:type: ClusterIPports:- port: 8080name: httpselector:app: svc2--- kind: Service apiVersion: v1 metadata:labels:app: svc3name: svc3 spec:type: ClusterIPports:- port: 8080name: httpselector:app: svc3

?

可以看到上面我們定義了3個 Deployment，分別對應(yīng)3個 Service：

$ kubectl create -f backend.yaml deployment.extensions "svc1" created deployment.extensions "svc2" created deployment.extensions "svc3" created service "svc1" created service "svc2" created service "svc3" created

然后我們創(chuàng)建一個 ingress 對象來訪問上面的3個服務(wù)：（example-ingress.yaml）

apiVersion: extensions/v1beta1 kind: Ingress metadata:name: example-web-appannotations:kubernetes.io/ingress.class: "traefik" spec:rules:- host: example.haimaxy.comhttp:paths:- path: /s1backend:serviceName: svc1servicePort: 8080- path: /s2backend:serviceName: svc2servicePort: 8080- path: /backend:serviceName: svc3servicePort: 8080

?

注意我們這里定義的 ingress 對象和之前有一個不同的地方是我們增加了 path 路徑的定義，不指定的話默認是 '/'，創(chuàng)建該 ingress 對象：

$ kubectl create -f test-ingress.yaml ingress.extensions "example-web-app" created $ kubectl get ingress NAME HOSTS ADDRESS PORTS AGE example-web-app example.haimaxy.com 80 1m $ kubectl describe ingress example-web-app Name: example-web-app Namespace: default Address: Default backend: default-http-backend:80 (<none>) Rules:Host Path Backends---- ---- --------example.haimaxy.com/s1 svc1:8080 (<none>)/s2 svc2:8080 (<none>)/ svc3:8080 (<none>) Annotations:kubernetes.io/ingress.class: traefik Events: <none>

?

現(xiàn)在我們可以在本地 hosts 里面給域名 example.haimaxy.com 添加對應(yīng)的 hosts 解析，然后就可以在瀏覽器中訪問，可以看到默認也會跳轉(zhuǎn)到 https 的頁面：

?

?

?

我們可以看到訪問上面的域名得到的結(jié)果是 svc3 service！這是因為上面在 ingress 中我們?yōu)橛蛎母窂狡ヅ涞氖?svc3 這個 service，同樣的，我們訪問http://example.haimaxy.com/s1?得到的應(yīng)該就是 svc1 這個 service 了：

?

訪問http://example.haimaxy.com/s2?得到的應(yīng)該就是 svc2 這個 service 了：

?

這里我們需要注意的是根路徑/必須在 ingress 對象中聲明的時候必須放在最后面，不然就都被/匹配到攔截到了，大家可以嘗試下把/這個 path 放在最上面，然后訪問下 s1 和 s2 這兩個 path，看看得到的結(jié)果是怎樣的？

不同的 ingress 對象是供不同的域名進行使用的，然后不同的域名的證書還不相同，這樣我們想使用上面 traefik 給大家提供的統(tǒng)一的 https 證書就不行了，這個時候我們就可以單獨為當(dāng)前的服務(wù)提供單獨的證書就可以，同樣用證書文件創(chuàng)建一個 secret 對象，然后在 ingress 對象中聲明一個 tls 對象即可，比如上面的 example.haimaxy.com 我們可以單獨指定一個證書文件：

1 apiVersion: extensions/v1beta1 2 kind: Ingress 3 metadata: 4 name: example-web-app 5 annotations: 6 kubernetes.io/ingress.class: "traefik" 7 spec: 8 tls: 9 - secretName: traefik-cert 10 rules: 11 - host: 12 ...

?

?

轉(zhuǎn)載于:https://www.cnblogs.com/lvcisco/p/9590490.html

總結(jié)

以上是生活随笔為你收集整理的k8s traefik ingress tls的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯，歡迎將生活随笔推薦給好友。