k8s 对外服务之ingress

于 2022-07-17 18:43:23 发布
阅读量1.7k 收藏 5
点赞数
分类专栏： kubernetes 文章标签： java 运维 linux
版权所有,转载请注明出处。
本文链接：https://blog.csdn.net/echizao1839/article/details/125819721
版权

一，Ingress 是什么？

Ingress 公开了从集群外部到集群内 services 的 HTTP 和 HTTPS 路由。 流量路由由 Ingress 资源上定义的规则控制。

一种全局的、为了代理不同后端 Service 而设置的负载均衡服务，就是 Kubernetes 里的 Ingress 服务。

• Ingress由两部分组成：Ingress controller和Ingress服务。
• Ingress Controller 会根据你定义的 Ingress 对象，提供对应的代理能力。业界常用的各种 反向代理项目，比如 Nginx、HAProxy、Envoy、Traefik 等，都已经为Kubernetes 专门维 护了对应的 Ingress Controller

二，为什么需要Ingress

k8s 对外暴露服务（service）主要有两种方式：NotePort, LoadBalance， 此外externalIPs也可以使各类service对外提供服务，但是当集群服务很多的时候，NodePort方式最大的缺点是会占用很多集群机器的端口；LB方式最大的缺点则是每个service一个LB又有点浪费和麻烦，并且需要k8s之外的支持； 而ingress则只需要一个NodePort或者一个LB就可以满足所有service对外服务的需求。工作机制大致可以用下图表示： 

实际上，ingress相当于一个7层的负载均衡器，是k8s对反向代理的一个抽象。大概的工作原理也确实类似于Nginx，可以理解成在 Ingress 里建立一个个映射规则 , ingress Controller 通过监听 Ingress这个api对象里的配置规则并转化成 Nginx 的配置（kubernetes声明式API和控制循环） , 然后对外部提供服务。ingress包括：ingress controller和ingress resources

ingress controller：核心是一个deployment，实现方式有很多，比如nginx, Contour, Haproxy, trafik, Istio，需要编写的yaml有：Deployment, Service, ConfigMap, ServiceAccount（Auth），其中service的类型可以是NodePort或者LoadBalancer。

ingress resources：这个就是一个类型为Ingress的k8s api对象了，这部分则是面向开发人员。

Kubernetes给出的方案就是Ingress，Ingress包含了两大主件Ingress Controller和Ingress。

Ingress解决的是新的服务加入后，域名和服务的对应问题，基本上是一个ingress的对象，通过yaml进行创建和更新进行加载。

Ingress Controller是将Ingress这种变化生成一段Nginx的配置，然后将这个配置通过Kubernetes API写到Nginx的Pod中，然后reload.（注意：写入 nginx.conf 的不是service的地址，而是service backend 的 pod 的地址，避免在 service 在增加一层负载均衡转发）

从上图中可以很清晰的看到，实际上请求进来还是被负载均衡器拦截，比如 nginx，然后 Ingress Controller 通过跟 Ingress 交互得知某个域名对应哪个 service，再通过跟 kubernetes API 交互得知 service 地址等信息；综合以后生成配置文件实时写入负载均衡器，然后负载均衡器 reload 该规则便可实现服务发现，即动态映射。

三，Ingress-nginx的部署和使用

官方文档安装指南

Installation Guide - NGINX Ingress Controller

注意过程中有镜像拉失败的自己换国内即可，这里是香港云服务器演示

版本对应

kubectl apply -f https://raw.githubusercontent.com/kubernetes/ingress-nginx/controller-v1.3.0/deploy/static/provider/cloud/deploy.yaml
apiVersion: v1
kind: Namespace
metadata:
  name: ingress-nginx
  labels:
    app.kubernetes.io/name: ingress-nginx
    app.kubernetes.io/part-of: ingress-nginx
 
---
 
kind: ConfigMap
apiVersion: v1
metadata:
  name: nginx-configuration
  namespace: ingress-nginx
  labels:
    app.kubernetes.io/name: ingress-nginx
    app.kubernetes.io/part-of: ingress-nginx
 
---
kind: ConfigMap
apiVersion: v1
metadata:
  name: tcp-services
  namespace: ingress-nginx
  labels:
    app.kubernetes.io/name: ingress-nginx
    app.kubernetes.io/part-of: ingress-nginx
 
---
kind: ConfigMap
apiVersion: v1
metadata:
  name: udp-services
  namespace: ingress-nginx
  labels:
    app.kubernetes.io/name: ingress-nginx
    app.kubernetes.io/part-of: ingress-nginx
 
---
apiVersion: v1
kind: ServiceAccount
metadata:
  name: nginx-ingress-serviceaccount
  namespace: ingress-nginx
  labels:
    app.kubernetes.io/name: ingress-nginx
    app.kubernetes.io/part-of: ingress-nginx
 
---
apiVersion: rbac.authorization.k8s.io/v1beta1
kind: ClusterRole
metadata:
  name: nginx-ingress-clusterrole
  labels:
    app.kubernetes.io/name: ingress-nginx
    app.kubernetes.io/part-of: ingress-nginx
rules:
  - apiGroups:
      - ""
    resources:
      - configmaps
      - endpoints
      - nodes
      - pods
      - secrets
    verbs:
      - list
      - watch
  - apiGroups:
      - ""
    resources:
      - nodes
    verbs:
      - get
  - apiGroups:
      - ""
    resources:
      - services
    verbs:
      - get
      - list
      - watch
  - apiGroups:
      - ""
    resources:
      - events
    verbs:
      - create
      - patch
  - apiGroups:
      - "extensions"
      - "networking.k8s.io"
    resources:
      - ingresses
    verbs:
      - get
      - list
      - watch
  - apiGroups:
      - "extensions"
      - "networking.k8s.io"
    resources:
      - ingresses/status
    verbs:
      - update
 
---
apiVersion: rbac.authorization.k8s.io/v1beta1
kind: Role
metadata:
  name: nginx-ingress-role
  namespace: ingress-nginx
  labels:
    app.kubernetes.io/name: ingress-nginx
    app.kubernetes.io/part-of: ingress-nginx
rules:
  - apiGroups:
      - ""
    resources:
      - configmaps
      - pods
      - secrets
      - namespaces
    verbs:
      - get
  - apiGroups:
      - ""
    resources:
      - configmaps
    resourceNames:
      # Defaults to "<election-id>-<ingress-class>"
      # Here: "<ingress-controller-leader>-<nginx>"
      # This has to be adapted if you change either parameter
      # when launching the nginx-ingress-controller.
      - "ingress-controller-leader-nginx"
    verbs:
      - get
      - update
  - apiGroups:
      - ""
    resources:
      - configmaps
    verbs:
      - create
  - apiGroups:
      - ""
    resources:
      - endpoints
    verbs:
      - get
 
---
apiVersion: rbac.authorization.k8s.io/v1beta1
kind: RoleBinding
metadata:
  name: nginx-ingress-role-nisa-binding
  namespace: ingress-nginx
  labels:
    app.kubernetes.io/name: ingress-nginx
    app.kubernetes.io/part-of: ingress-nginx
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: Role
  name: nginx-ingress-role
subjects:
  - kind: ServiceAccount
    name: nginx-ingress-serviceaccount
    namespace: ingress-nginx
 
---
apiVersion: rbac.authorization.k8s.io/v1beta1
kind: ClusterRoleBinding
metadata:
  name: nginx-ingress-clusterrole-nisa-binding
  labels:
    app.kubernetes.io/name: ingress-nginx
    app.kubernetes.io/part-of: ingress-nginx
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: nginx-ingress-clusterrole
subjects:
  - kind: ServiceAccount
    name: nginx-ingress-serviceaccount
    namespace: ingress-nginx
---
kind: Service
apiVersion: v1
metadata:
  name: ingress-nginx
  namespace: ingress-nginx
  labels:
    app.kubernetes.io/name: ingress-nginx
    app.kubernetes.io/part-of: ingress-nginx
spec:
  clusterIP: 10.1.211.240
  externalTrafficPolicy: Cluster
  ports:
  - name: http
    nodePort: 31686
    port: 80
    protocol: TCP
    targetPort: http
  - name: https
    nodePort: 30036
    port: 443
    protocol: TCP
    targetPort: https
  selector:
    app.kubernetes.io/name: ingress-nginx
    app.kubernetes.io/part-of: ingress-nginx
  sessionAffinity: None
  type: NodePort
---
 
apiVersion: apps/v1
kind: Deployment
metadata:
  name: nginx-ingress-controller
  namespace: ingress-nginx
  labels:
    app.kubernetes.io/name: ingress-nginx
    app.kubernetes.io/part-of: ingress-nginx
spec:
  replicas: 1
  selector:
    matchLabels:
      app.kubernetes.io/name: ingress-nginx
      app.kubernetes.io/part-of: ingress-nginx
  template:
    metadata:
      labels:
        app.kubernetes.io/name: ingress-nginx
        app.kubernetes.io/part-of: ingress-nginx
      annotations:
        prometheus.io/port: "10254"
        prometheus.io/scrape: "true"
    spec:
      # wait up to five minutes for the drain of connections
      terminationGracePeriodSeconds: 300
      serviceAccountName: nginx-ingress-serviceaccount
      containers:
        - name: nginx-ingress-controller
          image: registry.aliyuncs.com/google_containers/nginx-ingress-controller:0.26.1
          args:
            - /nginx-ingress-controller
            - --configmap=$(POD_NAMESPACE)/nginx-configuration
            - --tcp-services-configmap=$(POD_NAMESPACE)/tcp-services
            - --udp-services-configmap=$(POD_NAMESPACE)/udp-services
            - --publish-service=$(POD_NAMESPACE)/ingress-nginx
            - --annotations-prefix=nginx.ingress.kubernetes.io
          securityContext:
            allowPrivilegeEscalation: true
            capabilities:
              drop:
                - ALL
              add:
                - NET_BIND_SERVICE
            # www-data -> 33
            runAsUser: 33
          env:
            - name: POD_NAME
              valueFrom:
                fieldRef:
                  fieldPath: metadata.name
            - name: POD_NAMESPACE
              valueFrom:
                fieldRef:
                  fieldPath: metadata.namespace
          ports:
            - name: http
              containerPort: 80
            - name: https
              containerPort: 443
          livenessProbe:
            failureThreshold: 3
            httpGet:
              path: /healthz
              port: 10254
              scheme: HTTP
            initialDelaySeconds: 10
            periodSeconds: 10
            successThreshold: 1
            timeoutSeconds: 10
          readinessProbe:
            failureThreshold: 3
            httpGet:
              path: /healthz
              port: 10254
              scheme: HTTP
            periodSeconds: 10
            successThreshold: 1
            timeoutSeconds: 10
          lifecycle:
            preStop:
              exec:
                command:
                  - /wait-shutdown

Error from server (InternalError): error when creating “ingress.yaml”: Internal error occurred: failed calling webhook “validate.nginx.ingress.kubernetes.io”: failed to call webhook: Post “https://ingress-nginx-controller-admission.ingress-nginx.svc:443/networking/v1/ingresses?timeout=10s”: x509: certificate has expired or is not yet valid: current time 2022-03-26T14:45:34Z is before 2022-03-26T20:16:32Z

使用ingress暴露服务时候，kubectl apply -f ingress.yaml 报错：

解决方法：

kubectl delete -A ValidatingWebhookConfiguration ingress-nginx-admission

安装完成之后

创建规则测试

apiVersion: apps/v1
kind: Deployment
metadata:
  name: hostnames
spec:
  selector:
    matchLabels:
      app: hostnames
  replicas: 3
  template:
    metadata:
      labels:
        app: hostnames
    spec:
      containers:
      - name: hostnames
        image: k8s.gcr.io/serve_hostname
        resources:
          limits:
            memory: "128Mi"
            cpu: "500m"
        ports:
        - containerPort: 9376

       
---

apiVersion: v1
kind: Service
metadata:
  name: hostnames-server
spec:
  type: NodePort
  selector:
    app: hostnames
  ports:
  - port: 80
    targetPort: 9376
    nodePort: 31122

---

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: ingress-example
  namespace: default
spec:
  rules:
  - host: www.ingress2.com
    http:
      paths:
      - backend:
          service:
            name: hostnames-server
            port:
              number: 80
        path: /v1
        pathType: Prefix

编辑host

vi /etc/hosts

博客
互联网行业术语
06-22 6万+
互联网行业一般指的是互联网企业,是指以计算机网络技术为基础，利用网络平台提供服务并因此获得收入的企业。其业务范围通常覆盖全国甚至全球,注册用户通常达到千万级以上,用户活跃度也非常高,经常在同一时间点出现请求并行的情况。代表企业有阿里巴巴、腾讯、百度、东、宇节跳动,美团饿了么等。传统行业通常是指互联网向传统行业渗透,实质是传统行业需要互联网。互联网是技术平台、底层架构，它源于安全需求,却在经济领域大放异彩。传统经济正向网络经济转轨,这-有机联系的经济使各行各业均需连接, 因此以互联网为代表的联接型
博客
百度墨斗鱼文库创作中心上传验证码分析
05-24 585
之前发表过一篇，百度墨斗鱼后台上传文章分析的文章。时隔几个月，文件预览接口加了asc-token 和 验证码（百度v2）。闲来没事分析一下。所有的分析都基于协议，不基于web自动化。验证码目前有四种，验证码刷新重新加载可以互相切换，所以只要搞定其中一种或者多种即可，这四种目前都能搞定，验证通过之后通过回调设置成功标识，每次上传携带成功标识即可，不用每次都验证。需要注意的是log 接口参数 fuid 是一个获取浏览器指纹的（这块处理一下比较安全），fs是传入加密后的验证结果的。
博客
浏览器指纹的介绍及应用
12-06 1557
在网站上浏览某个商品，了解了相关的商品信息，但并没有下单购买，甚至没有进行登录操作。过两天用同台电脑访问其他网站的时候却发现很多同类商品的广告。在某博客中你有多个小号（水军），这些小号的存在就是为了刷某个帖子的热度或者进行舆论引导，又或者纯粹进行流量交易，即便你在切换账号的时候清空了cookie、本地缓存，重开路由器甚至使用vpn来进行操作，你觉得自己足够小心，并尽可能提高水军的真实性，但是管理人员可能还是知道这是同一个人在操作，从而被打击。
博客
数据仓库入门简介
11-14 1565
（英语：Data Warehouse，简称数仓、DW）是一个为数据分析而设计的企业级数据管理系统。它旨在支持企业决策过程中的数据分析和业务智能。数据仓库的基本原理是将不同来源的数据整合到一个中心存储库中，以提供一致的数据视图和易于理解的分析结果。通过提供这些服务，数据仓库可以帮助企业更好地理解业务、预测趋势、制定战略，并提升企业的决策水平和竞争力。数据仓库可以通过多种方式进行建模，其中最常用的是。
博客
ChatGpt 反向代理
10-14 2611
看了看网上的文章，实现接口国内访问的方法有很多。1，自己买国外服务器这种成本比较高，因为单纯的就是用个接口，专门买个服务器还是比较奢侈的。2，自己挂代理这种的使用的代理干净与否都不知道，并且有封号的风险。3，用中转key这种的需要买别人的key，背后都是一些普通5美元key组合成，这种一分钟只能请求三次，使用多账轮询，来达到生产可用的效果。4，使用别人的中转链接。
博客
Claude2 Api接入方案（现在官方提供api了）
08-14 3893
接入钉钉机器人支持群聊和私聊网上看了很多方案，因为Claude的api申请难度非常大，大部分都是说使用Slack，但是Slack只能免费使用一个月。作为一个完美主义怎么可能允许这样的事情发生。何如处理，抓网页。只能美，英，魔法这些都是入门小菜，这里不再赘述。自行解决。
博客
ChatGpt提示词大全
08-12 1万+
行为提示词Linux终端我希望你能充当一个linux终端。我将输入命令，你会回复终端应该显示什么。我想让你只回复在一个唯一的代码块内的终端输出，而没有别的。不要写一些解释。不要键入命令，除非我指示你这样做。当我需要用英语告诉你一些东西时，我会把文本放在大括号内{就像这样}。我的第一个命令是pwd英语翻译和即兴创作我希望你能担任英语翻译，拼写更正者和改进者。我将用任何语言与你交谈，你将发现该语言，翻译它，并以我的文本的修正和改进版本的英语回答。我想让你把我简化的A0级单词和句子换成更漂亮、更优雅的高级英语单词
博客
版本号规范 语义化版本 Semver Version 2.0.0
07-31 506
主版本号：当你做了不兼容的 API 修改，次版本号：当你做了向下兼容的功能性新增，修订号：当你做了向下兼容的问题修正。先行版本号及版本编译信息可以加到“主版本号.次版本号.修订号”的后面，作为延伸。在软件管理的领域里存在着被称作“依赖地狱”的死亡之谷，系统规模越大，加入的包越多，你就越有可能在未来的某一天发现自己已深陷绝望之中。在依赖高的系统中发布新版本包可能很快会成为噩梦。如果依赖关系过高，可能面临版本控制被锁死的风险（必须对每一个依赖包改版才能完成某次升级）。
博客
百度墨斗鱼文库创作中心源码分析
07-12 1833
公司解散，待业中，耗时一天研究了一下百度墨斗鱼文库创作中心源码。实现了后台自动完成任务并通知。下面主要分析一下实现思路和难点。
博客
Mysql常见的集群方案
07-10 9536
1、是官方提供的主从同步方案，用于将一个 MySQL 的实例同步到另一个实例中，在主从复制中，从库利用主库上的 binlog 进行重播，实现主从同步，默认是异步同步，针对其在不同场景下的一些缺陷，衍生出了半同步复制，强同步复制等数据高可用的方案；2、组复制又称为 MGR,引入复制组主要是为了解决传统异步复制和半同步复制可能产生数据不一致的问题, MGR 由若干个节点共同组成一个复制组，一个事务的提交，必须经过组内大多数节点 (N / 2 + 1) 决议并通过，才能得以提交;3、
博客
Springcloud之Feign、Hystrix、Ribbon如何设置超时时间
06-12 4327
我们在微服务调用服务的时候，会使用hystrix、feign和ribbon，比如有一个实例发生了故障而该情况还没有被服务治理机制及时的发现和摘除，这时候客户端访问该节点的时候自然会失败。所以，为了构建更为健壮的应用系统，我们希望当请求失败的时候能够有一定策略的重试机制，而不是直接返回失败。这里还会设计一些其他的配置参数，降级和熔断的概念不再赘述。先看这几个组件的关系hystrix在最外层，然后再到Ribbon，最后里面的是http请求。所以说。
博客
Java内存模型与线程规范详解（JMM）
06-05 468
顺序一致性内存模型是一个理论参考模型，JMM 和处理器内存模型在设计时通常会把顺序一致性内存模型作为参照。JMM 和处理器内存模型在设计时会对顺序一致性模型做一些放松，因为如果完全按照顺序一致性模型来实现处理器和 JMM，那么很多的处理器和编译器优化都要被禁止，这对执行性能将会有很大的影响。放松程序中写 - 读操作的顺序，由此产生了 total store ordering 内存模型（简称为 TSO）。
博客
一文搞懂位运算
06-05 761
接下来我们主要介绍十进制数用二进制表示的不同方法，所以为了简洁，我们用一个字节，也就是8个bit来表示二进制数。十进制原码20000 0010-21000 0010原码其实是最容易理解的，只不过需要利用二进制中的第一位来表示符号位，0表示正数，1表示负数，所以可以看到，一个数字用二进制原码表示的话，取值范围是-111 1111 ~ +111 1111，换成十进制就是-127 ~ 127。
博客
MySql MVCC 详解
05-27 7002
MVCC 是多版本并发控制（Multiversion Concurrency Control）的缩写。它是一种数据库事务管理技术，用于解决并发访问数据库的问题。MVCC 通过创建多个版本的同一数据，每个版本与一个事务关联，来实现并发控制。数据库在执行更新操作时，会保留之前版本的数据，以便其他正在执行事务的用户可以访问这些数据。每个事务都能看到一个稳定的数据快照，并且仅接触到他们自己的版本，这意味着每个事务可以独立地读取和写入数据，而不会干扰其它事务。
博客
SpringBoot启动过程源码解析
05-19 1218
否则，应用类型为WebApplicationType.SERVLET。
博客
SpringBoot自动配置底层源码解析
05-19 998
SpringBoot中众多的条件注解，都是基于Spring中的@Conditional来实现的，所以我们先来用一下@Conditional注解。先来看下@Conditional注解的定义/***/Class
博客
SpringMVC中的转发和重定向参数传递
05-18 982
model不是同一个，是不共享的，这也能体现出来model和request的区别了，每个Controller中的方法都会对应的一个Model。把要传递的参数存入outputFlashMap，在b请求里通过inputFlashMap就可以拿到了，底层是基于session来实现的。以上代码访问/a后，就会重定向到/b，但是由于是两个单独的请求（这两个请求都是由浏览器发出的，所以浏览器上的地址会变成/b）。转发就比较简单了，因为一直时同一个请求，所以数据本身就是共享的。
博客
Java 并发队列详解
05-16 1596
对head的更新也是同样的道理，虽然，这样设计会多出在循环中定位队尾节点，但总体来说读的操作效率要远远高于写的性能，因此，多出来的在循环中定位尾节点的操作的性能损耗相对而言是很小的。ConcurrentLinkedQueue通过无锁来做到了更高的并发量，是个高性能的队列，但是使用场景相对不如阻塞队列常见，毕竟取数据也要不停的去循环，不如阻塞的逻辑好设计，但是在并发量特别大的情况下，是个不错的选择，性能上好很多，而且这个队列的设计也是特别费力，尤其的使用的改良算法和对哨兵的处理。也就是说，它是有限的。
博客
Hystrix参数详解
05-12 922
若rolling window被设为10000毫秒，则rolling window会被分成n个buckets，每个bucket包含success，failure，timeout，rejection的次数的统计信息。如果设为20，那么当一个rolling window的时间内（比如说1个rolling window是10秒）收到19个请求，即使19个请求都失败，也不会触发circuit break。错误比率阀值，如果错误率>=该值，circuit会被打开，并短路所有请求触发fallback。
博客
7种常见的生产级负载均衡算法
05-10 740
准备测试数据。
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值