kubernetes之ingress

ingress简介

1. ingress controller通过和kubernetes api交互，动态的去感知集群中ingress规则变化，
2. 然后读取它，按照自定义的规则，规则就是写明了哪个域名对应哪个service，生成一段nginx配置，
3. 再写到nginx-ingress-control的pod里，这个Ingress controller的pod里运行着一个Nginx服务，控制器会把生成的nginx配置写入/etc/nginx.conf文件中，
4. 然后reload一下使配置生效。以此达到域名分配置和动态更新的问题。

Ingress 组成

ingress controller
　　将新加入的Ingress转化成Nginx的配置文件并使之生效
ingress服务
　　将Nginx的配置抽象成一个Ingress对象，每添加一个新的服务只需写一个新的Ingress的yaml文件即可

Ingress 工作原理

1. ingress controller通过和kubernetes api交互，动态的去感知集群中ingress规则变化，
2. 然后读取它，按照自定义的规则，规则就是写明了哪个域名对应哪个service，生成一段nginx配置，
3. 再写到nginx-ingress-control的pod里，这个Ingress controller的pod里运行着一个Nginx服务，控制器会把生成的nginx配置写入/etc/nginx.conf文件中，
4. 然后reload一下使配置生效。以此达到域名分配置和动态更新的问题。

Ingress 可以解决什么问题

1. 动态配置服务 　　
   如果按照传统方式, 当新增加一个服务时, 我们可能需要在流量入口加一个反向代理指向我们新的k8s服务. 而如果用了Ingress, 只需要配置好这个服务, 当服务启动时, 会自动注册到Ingress的中, 不需要而外的操作.
2. 减少不必要的端口暴露 　　
   配置过k8s的都清楚, 第一步是要关闭防火墙的, 主要原因是k8s的很多服务会以NodePort方式映射出去, 这样就相当于给宿主机打了很多孔, 既不安全也不优雅.
   而Ingress可以避免这个问题,

ingress-nginx部署

• Ingress 事实上不是一种服务类型。相反，它处于多个服务的前端，扮演着 “智能路由” 或者集群入口的角色。你可以用 Ingress 来做许多不同的事情，各种不同类型的 Ingress 控制器也有不同的能力。它允许你基于路径或者子域名来路由流量到后端服务。

• Ingress 可能是暴露服务的最强大方式，但同时也是最复杂的。Ingress 控制器有各种类型，包括 Google Cloud Load Balancer， Nginx，Contour，Istio，等等。它还有各种插件，比如 cert-manager
  (它可以为你的服务自动提供 SSL 证书)/

• 如果你想要使用同一个 IP 暴露多个服务，这些服务都是使用相同的七层协议（典型如 HTTP），你还可以获取各种开箱即用的特性（比如 SSL、认证、路由等等）

部署文件介绍

namespace.yaml	创建一个独立的命名空间 ingress-nginx
configmap.yaml	ConfigMap是存储通用的配置变量的，类似于配置文件，使用户可以将分布式系统中用于不同模块的环境变量统一到一个对象中管理；而它与配置文件的区别在于它是存在集群的“环境”中的，并且支持K8S集群中所有通用的操作调用方式。从数据角度来看，ConfigMap的类型只是键值组，用于存储被Pod或者其他资源对象（如RC）访问的信息。这与secret的设计理念有异曲同工之妙，主要区别在于ConfigMap通常不用于存储敏感信息，而只存储简单的文本信息。ConfigMap可以保存环境变量的属性，也可以保存配置文件。创建pod时，对configmap进行绑定，pod内的应用可以直接引用ConfigMap的配置。相当于configmap为应用/运行环境封装配置。pod使用ConfigMap，通常用于：设置环境变量的值、设置命令行参数、创建配置文件。
default-backend.yaml	如果外界访问的域名不存在的话，则默认转发到default-http-backend这个Service，其会直接返回404：
rbac.yaml	负责Ingress的RBAC授权的控制，其创建了Ingress用到的ServiceAccount、ClusterRole、Role、RoleBinding、ClusterRoleBinding
with-rbac.yaml	是Ingress的核心，用于创建ingress-controller。前面提到过，ingress-controller的作用是将新加入的Ingress进行转化为Nginx的配置

获取配置文件位置: https://github.com/kubernetes/ingress-nginx/tree/nginx-0.20.0/deploy

部署过程

前期资源准备

#默认下载最新版的
wget  https://raw.githubusercontent.com/kubernetes/ingress-nginx/master/deploy/mandatory.yaml

#下载mandatory.yaml所需镜像
docker pull registry.cn-qingdao.aliyuncs.com/kubernetes_xingej/defaultbackend-amd64:1.5
docker pull registry.cn-qingdao.aliyuncs.com/kubernetes_xingej/nginx-ingress-controller:0.20.0

mkdir ingress-nginx
wget  https://raw.githubusercontent.com/kubernetes/ingress-nginx/nginx-0.20.0/deploy/mandatory.yaml
#对外提供服务，如果不需要可以不下载
wget  https://raw.githubusercontent.com/kubernetes/ingress-nginx/master/deploy/provider/baremetal/service-nodeport.yaml      
#对外提供服务，如果不需要可以不下载

#更新mandatory.yaml中的镜像地址
sed -i 's#k8s.gcr.io/defaultbackend-amd64#registry.cn-qingdao.aliyuncs.com/kubernetes_xingej/defaultbackend-amd64#g' mandatory.yaml  #替换defaultbackend-amd64镜像地址
sed -i 's#quay.io/kubernetes-ingress-controller/nginx-ingress-controller#registry.cn-qingdao.aliyuncs.com/kubernetes_xingej/nginx-ingress-controller#g' mandatory.yaml  #替换nginx-ingress-controller镜像地址
grep image mandatory.yaml  #查看镜像版本是否更新

mandatory.yaml文件下载地址
https://github.com/kubernetes/ingress-nginx/tree/nginx-0.20.0/deploy
文末扩展有附上的代码

创建第一层ingress服务

#部署nginx-ingress-controller
kubectl apply -f mandatory.yaml 
vim service-nodeport.yaml
kubectl apply -f service-nodeport.yaml 

#查看ingress-nginx组件状态
kubectl get pods -n ingress-nginx
kubectl get svc -n ingress-nginx

创建第二层ingress-nginx后端服务,

vim deploy-demon.yaml 
kubectl apply -f deploy-demon.yaml
vim ingress-myapp.yaml
kubectl apply -f ingress-myapp.yaml 

再创建一个Service及后端Deployment(以tomcat为例)，即第三层

vim tomcat-deploy.yaml 
kubectl apply -f tomcat-deploy.yaml 
kubectl get pod #等待pod状态就绪

#将tomcat添加至ingress-nginx中
cat ingress-tomcat.yaml 
kubectl apply -f ingress-tomcat.yaml 

以上基本架构已经创建完成，接下来就要添加功能

对tomcat服务添加httpds服务

#创建私有证书及secret
openssl genrsa -out tls.key 2048
openssl req -new -x509 -key tls.key -out tls.crt -subj /C=CN/ST=Beijing/L=Beijing/O=DevOps/CN=tomcat.magedu.com #注意域名要和服务的域名一致 
kubectl create secret tls tomcat-ingress-secret --cert=tls.crt --key=tls.key #创建s