如何在 Kubernetes 中使用 APISIX Ingress 实现 gRPC 代理服务

概要：本文介绍了如何利用 APISIX Ingress 代理 gRPC 服务，并演示了在 Kubernetes 中部署 gRPC 服务的步骤。通过阅读本文，您可以了解如何使用 gRPC 插件和 Proxy-Set-Header 插件实现 gRPC 协议的代理，以及如何在 APISIX Ingress 中配置路由规则和 Upstream，并进行测试

当我们需要在 Kubernetes 中，将 gRPC 服务暴露给外部的客户端时，可以通过 APISIX Ingress 来实现对 gRPC 服务的代理。APISIX Ingress 提供了 gRPC 插件和 Proxy-Set-Header 插件，让我们能够轻松实现 gRPC 协议的代理。

gRPC 协议简介

gRPC 是一个高性能、开源、通用的远程过程调用（RPC）框架，其支持基于 HTTP/2 协议的双向流传输，并且支持多语言。gRPC 使用 Protocol Buffers（Protobuf）作为数据序列化格式，这使得它比其他序列化方案更快和更小。

在 Kubernetes 中部署 gRPC 服务

在 Kubernetes 中部署 gRPC 服务，需要先创建一个 Deployment 和一个 Service。

apiVersion: apps/v1
kind: Deployment
metadata:
  labels:
    app: grpc-demo
  name: grpc-demo
spec:
  selector:
    matchLabels:
      app: grpc-demo
  replicas: 3
  template:
    metadata:
      labels:
        app: grpc-demo
    spec:
      containers:
      - name: grpc-demo
        image: "your-image"
        ports:
        - name: grpc
          containerPort: 9000
        env:
        - name: GRPC_PORT
          value: "9000"
---
apiVersion: v1
kind: Service
metadata:
  name: grpc-demo
spec:
  type: ClusterIP
  ports:
  - name: grpc
    port: 9000
    protocol: TCP
    targetPort: grpc
  selector:
    app: grpc-demo

在上面的例子中，我们创建了一个名为 grpc-demo 的 Deployment 和 Service。它包含了三个 gRPC 副本，用于实现高可用和负载均衡。每个副本暴露了 9000 端口，用于 gRPC 服务。

部署 APISIX Ingress

接下来，我们需要在 Kubernetes 中部署 APISIX Ingress，用于实现 gRPC 服务的代理。

首先，按照APISIX 官网的说明部署 APISIX Ingress Controller，这里我们不再赘述。接下来，我们需要创建一个 APISIX Ingress 路由规则，用于代理 gRPC 服务。

apiVersion: apisix.apache.org/v1
kind: ApisixRoute
metadata:
  name: grpc-demo-route
spec:
  hosts:
    - grpc-demo.example.com
  plugins:
    - name: grpc-dynamic-registry
      enable: true
      proto_descriptor_file: /path/to/proto/file.proto
      tls_ca_cert_file: /path/to/ca/cert/file
    - name: grpc-balancer
      enable: true
      config:
        plugin:
          name: weighted-round-robin
          nodes:
            - host: grpc-demo-0.grpc-demo
              weight: 5
            - host: grpc-demo-1.grpc-demo
              weight: 5
            - host: grpc-demo-2.grpc-demo
              weight: 5
          retry_failed: true
    - name: proxy-set-header
      enable: true
      config:
        headers:
          x-proxied-by: apisix-ingress
  routes:
    - uri: /*
      plugins:
        - name: grpc-dynamic-registry
          enable: true
          proto_descriptor_file: /path/to/proto/file.proto
          tls_ca_cert_file: /path/to/ca/cert/file
        - name: proxy-set-header
          enable: true
        - name: grpc-transcode
          enable: true
          proto_descriptor_file: /path/to/proto/file.proto
          service_name: service1.Greeter
          method_name: SayHello
      upstreams:
        - name: grpc-demo2-upstream
          type: grpc
          nodes:
            - host: grpc-demo-0.grpc-demo
              port: 9000
            - host: grpc-demo-1.grpc-demo
              port: 9000
            - host: grpc-demo-2.grpc-demo
              port: 9000

在上面的例子中，我们创建了一个名为 grpc-demo-route 的 APISIX Ingress 路由规则，它包含了 gRPC 插件和 Proxy-Set-Header 插件，用于代理 gRPC 服务和添加自定义 HTTP Headers。在 Upstream 中，定义了名为 grpc-demo2-upstream 的 Upstream，它包含了 gRPC 服务的地址信息。

在路由规则中使用了 hosts: 字段，它指定了路由规则绑定的域名。这里我们假设域名为 grpc-demo.example.com，需要确保该域名与 APISIX Ingress Controller 的公共 IP 地址进行绑定。需要在 DNS 服务器中将 grpc-demo.example.com 解析到 APISIX Ingress Controller 的公共 IP 上。

在 plugins 部分，我们用到了 grpc-dynamic-registry 插件，它支持动态加载 proto 文件，并从 Kubernetesecret 中获取 TLS 证书。同时，使用了 grpc-balancer 插件，在 Upstream 中配置了节点的权重来实现请求负载均衡。在 proxy-set-header 插件中，我们添加了一个自定义 HTTP Header，名称为 x-proxied-by，值为 apisix-ingress。

在 routes 部分，使用 grpc-transcode 插件将 gRPC 协议转换为 HTTP/1.1 协议，实现对 gRPC 服务的代理。它允许访问一个可以通过 HTTP 协议进行调用的 gRPC 服务。需要注意的是，在 Upstream 中需要指定 type: grpc，以及将 APISIX Ingress 与 gRPC 服务共享 TLS 证书，以确保安全性和稳定性。

测试

为了测试我们部署的 gRPC 服务，我们可以使用一个 gRPC 客户端，例如grpcurl，针对部署在 Kubernetes 中的 gRPC 服务执行一个测试请求。

$ grpcurl --plaintext --proto path/to/service.proto grpc-demo.example.com:443 service1.Greeter/SayHello \
      -d '{"name": "world"}'

在上述命令中，我们假设部署的服务是通过 grpc-demo.example.com 域名暴露的。使用 --proto 标记指定 Proto 文件，使用 --plaintext 标记指定没有启用 TLS 认证，使用 -d 标记指定请求的 grpc payload。

总结

通过 APISIX Ingress，我们能够在 Kubernetes 中代理 gRPC 服务，实现对 gRPC 协议的支持。通过 gRPC 插件和 Proxy-Set-Header 插件，我们可以很方便地创建一个可靠的 gRPC 代理服务，将 gRPC 服务暴露给客户端。除此之外，APISIX Ingress 提供了更多的插件，例如 JWT 鉴权插件和限速插件，可以让我们更好地保护和优化我们的服务。