2020-03-26 Kubernetes-Ingress Controller

Ingress Controller 和之前所讲的DaemonSet 、Deployment等不同，Ingress Controller不是Controller Manager中的一部分，他只是一个或一组独立的Pod资源，他通常就是一个运行着有七层代理能力或调度能力的应用，比如：NGINX、HAproxy、Traefik、Envoy

之前所讲到的Service他的工作原理是基于iptables或ipvs的，iptables和ipvs是四层代理的，四层代理有个缺陷就是他只是工作在tcp/ip协议栈。

如果外部请求是HTTPS的请求，Service是无法调度的。如果构建在内部的服务是HTTP，还希望用Service调度的话，那么证书和私钥的配置问题就来了。

外部解析一般是基于域名解析，解析到的地址也是调度器的地址，而sso会话是和后端服务器建立的连接，那么就应该在每一台后端服务器都配置证书。

SSO既贵又慢，如果我们认为内部网络是安全的，就可以在接入层就卸载SSO会话，外部使用HTTPS通信，而内部使用HTTP通信。所以要换一种调度方式
在Kubernetes中采用一种独特的方式实现。

在提供服务的pod之前再加一层，后端pod就采用明文的HTTP，中间加的那层调度器Pod运行一个七层的应用比如NGINX、HAproxy、Traefik、Envoy当用户请求时，先到达这个独特的调度器，而不是直接到达后端的Pod，Pod和Pod之间由于是在同一网段可以直接通信，无需经过Service。

这个Pod就叫做Ingress Controller。假如我们有三个节点，那么可以使用DaemonSet在每个节点之上都部署一个Ingress Controller，但是如果有3000个节点呢？
DaemonSet不止可在每个节点上部署一个Pod副本，还可以在指定的节点上部署一个Pod副本，那么我们就可以单独拿出来几个几点作为ingress Controller的专用节点，把专用节点打上污点，让其他Pod都调度不上来，只有DaemonSet定义的ingress可以在此之上部署，并且能容忍污点。

试想一种场景：

当Ingress Controller调度不止一个Web服务的时候，我可以采用基于主机名的Virtual Host或URL映射的方式，但是当无状态的后端被Kill或增加减少的时候，Pod IP地址必然发生变化，这时候Ingress Controller是如何跟着做动态的变更呢？

答案是 Ingress Controller仍需要借助Service的Selector功能帮助分类，关联着后端所有符合条件的Pod，当上述情况发生时，他会将变化反映至Ingress资源，（注意Ingress资源和Ingress Controller是两个概念。）再由Ingress资源把变化信息注入到Ingress Controller的配置文件中（非常方便），进而触发Ingress Controller重载配置文件的动作。

image.png

具体搭建步骤

配置一个Ingress Controller

1 · 创建一个名称空间
kubectl create namespace ingress-nginx
2 · 创建一个configmap （用于配置文件注入）
3 · 配置rbac用于创建集群角色，权限控制，为Ingress Controller提供他到达不了的namespace的权限
4 · with-rbac
5 · tcp-service
以上配置文件都可以到GitHub中Kubernetes官方站点的Ingress-Nginx的deploy文件夹下获取
如果GitHub下载太慢可以选择需要的文件下载

image.png

下载好后kubectl apply -f ./
直接指定目录即可完成所有创建（前提要先创建namespace）

image.png

image.png

※※另一种简便部署Ingress Controller的办法

kubectl apply -f https://raw.githubusercontent.com/kubernetes/ingress-nginx/nginx-0.30.0/deploy/static/mandatory.yaml
效果和以上是一样的，参考官网(需要翻墙)
https://kubernetes.github.io/ingress-nginx/

为确保Ingress Controller能够接入外部流量第一种做法是为他添加一个类型为NodePort的Service，根据官网介绍 命令为
kubectl apply -f https://raw.githubusercontent.com/kubernetes/ingress-nginx/nginx-0.30.0/deploy/static/provider/baremetal/service-nodeport.yaml

而另一种做法是将Ingress Controller与宿主机共享网络名称空间，并且要确保宿主机的80和443端口没有被占用，因为Ingress Controller要监听这两个端口。

由于官方给的配置文件端口是随机的，建议下载下来手动指定端口30080和30443

此时在外部节点访问NodeIp：30080应该可以显示404回显， 代表Ingress Controller已经配通，显示default backend 404 是因为后端的规则还没有写，接下来开始配置Ingress。

创建 Ingress

创建之前应先创建后端被调度的Pod及Service

image.png

把刚刚创建好的myapp通过Ingress发布出去，注意apiVersion比较独特。

image.png

创建好之后，便将生成好的配置文件立即注入到Ingress Controller中了

image.png

进入到Ingress Controller 中查看 nginx.conf

image.png

image.png

在从外部访问之前要做好域名解析映射 vim /etc/hosts
访问效果： ↓

image.png

拓展

在此Ingress Controller上我们尝试再调度一个web，此次并且是HTTPS的Tomcat
首先部署三个Tomcat并配置一个Service

image.png

因为此次要做个通过HTTPS访问的TOMCAT，所以我们要先做一个证书 ，并且转换成K8s能够识别的格式

image.png

再做一个Ingress

image.png

应用配置文件后返回到Ingress Controller看nginx.conf配置文件，已经可以看到证书已被应用。

image.png

访问效果 ： ↓

image.png