Kubernetes集群中配置Ingress支持HTTPS访问

最新推荐文章于 2024-06-06 16:31:41 发布

yyx_892755

最新推荐文章于 2024-06-06 16:31:41 发布

阅读量1k

点赞数 17

文章标签： kubernetes https 容器

本文链接：https://blog.csdn.net/2301_76892755/article/details/139127356

版权

一.系统环境

本文主要基于Kubernetes1.22.2和Linux操作系统Ubuntu 18.04。

服务器版本	docker软件版本	Kubernetes(k8s)集群版本	kube-bench版本	CPU架构
Ubuntu 18.04.5 LTS	Docker version 20.10.14	v1.22.2	0.6.7	x86_64

Kubernetes集群架构：k8scludes1作为master节点，k8scludes2，k8scludes3作为worker节点。

服务器	操作系统版本	CPU架构	进程	功能描述
k8scludes1/192.168.110.128	Ubuntu 18.04.5 LTS	x86_64	docker，kube-apiserver，etcd，kube-scheduler，kube-controller-manager，kubelet，kube-proxy，coredns，calico	k8s master节点
k8scludes2/192.168.110.129	Ubuntu 18.04.5 LTS	x86_64	docker，kubelet，kube-proxy，calico	k8s worker节点
k8scludes3/192.168.110.130	Ubuntu 18.04.5 LTS	x86_64	docker，kubelet，kube-proxy，calico	k8s worker节点

二.前言

HTTPS是安全的HTTP协议，它通过SSL/TLS协议为客户端与服务器之间的通信提供加密。在Kubernetes集群中，Ingress资源管理集群外的访问，通过配置Ingress，我们可以为服务提供安全的HTTPS访问。

在Kubernetes集群中配置Ingress以支持HTTPS访问的前提是已经有一套可以正常运行的Kubernetes集群，关于Kubernetes(k8s)集群的安装部署，可以查看博客《Ubuntu 安装部署Kubernetes(k8s)集群》https://www.cnblogs.com/renshengdezheli/p/17632858.html。

三.对称加密和非对称加密简介

数据加密的类型有：

对称加密：使用相同的密钥进行加密和解密。优点是算法公开、计算量小、加密速度快、加密效率高，但密钥分发是一个挑战，如果密钥在协商过程中被泄露，那么密文就可能被破解。常见的对称加密算法有des,aes,des256,des512等
非对称加密：使用一对密钥，一个用于加密（公钥(可公开)），另一个用于解密（私钥(私有的)）。优点是安全性高，即使密文被拦截、公钥被获取，由于无法获取到私钥，攻击者也无法破译密文。常见的非对称加密算法有RSA、DSA、ECC等。但是非对称加密的计算过程复杂，加解密效率相对较低，举个例子：A给B传输文件，A先使用B的公钥加密，然后把加密文件发送给B，B使用自己的私钥进行解密。
哈希函数：输入不定长的值，总能得到一个定长的值。

另外非对称加密除了可以用来做数据加密(公钥加密，私钥解密)，还可以用来做数字签名（私钥加密，公钥解密），数字签名用来验证身份，举个例子：A要给B发送一个数据，A需要向B证明这数据就是A发送的，不是别人发送的。A对需要传输的文件生成一个哈希值，文件内容不发生变化，哈希值就不会发生变化，A使用私钥加密哈希值，然后把数据和加密后的哈希值发送给B， B使用A的公钥解密哈希值，B将收到的数据生成一个哈希值，如果文件在传输的过程中没有被修改，则两个哈希值应该是一样的，这样就可以验证数据是不是A发送的，以及数据有没有被修改过。

混合加密即对称加密和非对称加密的混合使用，有时会把文件先进行对称加密再非对称加密，再传输，这样对称加密的密钥传输过程就是安全的，但是存在中间人攻击，B把公钥发给A，途中被中间人C截获了，然后把C的公钥发给A，A自以为使用了“正确的B的公钥”，其实收到的是C伪装的公钥，A加密之后把加密文件发给B，C截获了加密文件，并使用C的私钥解密得到明文，最后使用正确的B公钥加密文件，把文件发给B，这就是中间人攻击。

解决中间人攻击的方法是使用CA，认证中心(CA)是一个权威的、受信任的第三方机构，其核心职能是发放和管理数字证书，用于证明和确认交易参与者的身份，保证电子商务交易过程中身份可认证性。举个例子：B发送csr(证书请求文件)给CA证书中心，CA审核通过之后，给B颁发证书，证书上有CA的盖章(数字签名)，说明这个证书是CA认证过的没问题，B把证书发给A，A使用CA的公钥验证证书的数值签名，验证是不是CA颁发的证书，浏览器里也存储着证书信息，确定这是CA给B颁发的证书之后，使用证书加密密钥，传输给B。

注意：证书的本质就是公钥。

总的来说，对称加密和非对称加密各有优缺点，具体使用哪种方式取决于实际需求和场景。

四.什么是HTTPS

HTTPS，全称Hypertext Transfer Protocol Secure，是超文本传输安全协议。它是一种通过计算机网络进行安全通信的传输协议，以安全为目标的 HTTP 通道。在HTTP的基础上，HTTPS通过传输加密和身份认证保证了传输过程的安全性。

HTTPS的诞生是为了解决HTTP通信使用明文的问题，验证通信方的身份，以及证明报文的完整性。在HTTP与TCP之间，HTTPS加入了SSL(Secure Sockets Layer)/TLS(Transport Layer Security)协议来为数据传输提供加密和身份验证。如果进行更具体的解释，可以将HTTPS理解为身披SSL/TLS协议这层外壳的HTTP，即https=http+tls/ssl，ssl是tls的前身。

HTTPS解决数据传输安全问题的方案就是使用加密算法，具体来说是混合加密算法，也就是对称加密和非对称加密的混合使用。

五.Ingress简介

Ingress是Kubernetes中的一个API对象，用于管理对集群内服务的外部访问。Ingress资源允许您定义如何路由外部HTTP(S)流量到集群中的不同服务。

kubernetes服务的发布方式有：NodePort，LoadBalancer，Ingress，关于使用NodePort或者LoadBalancer发布Kubernetes服务，详情请查看博客《Kubernetes(k8s)服务service：service的发现和service的发布》，Kubernetes(k8s)使用ingress发布服务，我们在博客《Kubernetes(k8s)使用ingress发布服务》中也做了详细介绍。但是之前使用ingress发布服务，使用的是http的方式，是以明文的方式访问的，这样不安全。

本文配置Ingress支持HTTPS访问，提高安全性，避免流量被劫持，提高搜索站点的权重。

六.配置ingress对外发布服务

6.1 安装NGINX ingress controller控制器

要使用Ingress，需要先安装一个Ingress控制器来处理Ingress对象。本次使用Nginx Ingress Controller控制器，Nginx Ingress Controller控制器本质上是一个nginx的反向代理(根据访问地址的不同，转发到不同的服务器)。Nginx Ingress Controller的官网为：https://kubernetes.github.io/ingress-nginx/deploy/。

下载ingress-nginx的部署yaml文件。

root@k8scludes1:~/TLS-ingress# wget https://raw.githubusercontent.com/kubernetes/ingress-nginx/controller-v1.1.1/deploy/static/provider/cloud/deploy.yaml
Connecting to raw.githubusercontent.com (raw.githubusercontent.com)|185.199.109.133|:443... connected.
HTTP request sent, awaiting response... 200 OK
Length: 19299 (19K) [text/plain]
Saving to: ‘deploy.yaml’

deploy.yaml                                          100%[====================================================================================================================>]  18.85K  35.5KB/s    in 0.5s    

2022-04-20 15:09:22 (35.5 KB/s) - ‘deploy.yaml’ saved [19299/19299]

查看ingress-nginx所需的镜像。

root@k8scludes1:~/TLS-ingress# grep image deploy.yaml 
          image: k8s.gcr.io/ingress-nginx/controller:v1.1.1@sha256:0bc88eb15f9e7f84e8e56c14fa5735aaa488b840983f87bd79b1054190e660de
          imagePullPolicy: IfNotPresent
          image: k8s.gcr.io/ingress-nginx/kube-webhook-certgen:v1.1.1@sha256:64d8c73dca984af206adf9d6d7e46aa550362b1d7a01f3a0a91b20cc67868660
          imagePullPolicy: IfNotPresent
          image: k8s.gcr.io/ingress-nginx/kube-webhook-certgen:v1.1.1@sha256:64d8c73dca984af206adf9d6d7e46aa550362b1d7a01f3a0a91b20cc67868660
          imagePullPolicy: IfNotPresent

因为k8s.gcr.io/ingress-nginx/controller:v1.1.1镜像下载不了，我们搜索可用的镜像。

root@k8scludes1:~# docker search controller:v1.1.1 --no-trunc
NAME                              DESCRIPTION                                  STARS     OFFICIAL   AUTOMATED
loging/ingress-nginx-controller   k8s.gcr.io/ingress-nginx/controller:v1.1.1   1                    
jhonsun777/controller             k8s.gcr.io/ingress-nginx/controller:v1.1.1   0           

root@k8scludes1:~/TLS-ingress# docker search kube-webhook-certgen:v1.1.1 --no-trunc
NAME                                              DESCRIPTION                                                       STARS     OFFICIAL   AUTOMATED
lianyuxue1020/kube-webhook-certgen                new pull lianyuxue1020/kube-webhook-certgen:v1.1.1                1                    
xyz349925756/ingress-nginx-kube-webhook-certgen   k8s.gcr.io/ingress-nginx/kube-webhook-certgen:v1.1.1              0                    
freemankevin/kube-webhook-certgen                 correspond：k8s.gcr.io/ingress-nginx/kube-webhook-certgen:v1.1.1   0                    
longjianghu/ingress-nginx-kube-webhook-certgen    k8s.gcr.io/ingress-nginx/kube-webhook-certgen:v1.1.1原版镜像          0                    
caihy/ingress-nginx-kube-webhook-certgen          FROM k8s.gcr.io/ingress-nginx/kube-webhook-certgen:v1.1.1         0

在worker节点下载controller镜像和kube-webhook-certgen镜像。

root@k8scludes2:~# docker pull  willdockerhub/ingress-nginx-controller:v1.0.0
root@k8scludes2:~# docker pull  docker.io/liangjw/kube-webhook-certgen:v1.1.1

root@k8scludes3:~# docker pull  willdockerhub/ingress-nginx-controller:v1.0.0
root@k8scludes3:~# docker pull  docker.io/liangjw/kube-webhook-certgen:v1.1.1

把deploy.yaml文件里的镜像修改为我们下载好的镜像，注意ingress-nginx-controller和kube-webhook-certgen镜像的版本不要差太多，不然部署失败。

root@k8scludes1:~/TLS-ingress# grep image deploy.yaml
          image: willdockerhub/ingress-nginx-controller:v1.0.0
          imagePullPolicy: I

最低0.47元/天解锁文章

yyx_892755

关注

17
点赞
踩
16

收藏

觉得还不错? 一键收藏
0
评论
Kubernetes集群中配置Ingress支持HTTPS访问

HTTPS是安全的HTTP协议，它通过SSL/TLS协议为客户端与服务器之间的通信提供加密。在Kubernetes集群中，Ingress资源管理集群外的访问，通过配置Ingress，我们可以为服务提供安全的HTTPS访问。在Kubernetes集群中配置Ingress以支持HTTPS访问的前提是已经有一套可以正常运行的Kubernetes集群，关于Kubernetes(k8s)集群的安装部署，可以查看博客《Ubuntu 安装部署Kubernetes(k8s)集群》对称加密：使用相同的密钥进行加密和解密。
复制链接

扫一扫