HTTP (S) Load Balancing für Kubernetes/Docker

Question

Ich habe einen Restfull Service hinter selbst signierten Cert durch NGINX in Google Cloud Kubernetes Infrastruktur. Kubernetes Service Loader macht 443 verfügbar und routet den Verkehr diese Container. Alles funktioniert gut wie erwartet, abgesehen davon, dass interne Kunden gebeten werden, die Warnmeldung "Self Sign Cert" zu ignorieren! Es ist Zeit, zu CA-Zertifikat nur so weit zu verschieben, wie ich sehe, ist https loader, aber ich konnte nicht herausfinden, wie wir den Verkehr zu Service-Lader oder direkt zu Pods als Service-Lader (http loader)

umleiten können Jede Hilfe Apprecaited

Answer 1

1. Update-Firewall-Regeln für

   IP: 130.211.0.0/22 
   tcp:30000-32767 
   

2. erstellen NodePort Typen Service

   apiVersion: v1 
   kind: Service 
   metadata: 
       name: yourservicenodeport 
       labels: 
       name: your-service-node-port 
   spec: 
       type: NodePort 
       ports: 
       - port: 80 
        nodePort: 30001 
       selector: 
       name: yourpods 
   

3. Gesundheit Erstellen Check

   Für den nodeport, in diesem Fall i t ist; 30001

4. Erstellen Sie einen Ingress-Service;

   apiVersion: extensions/v1beta1 
   kind: Ingress 
   metadata: 
       name: youTheking-ingress-service 
   spec: 
       backend: 
       serviceName: yourservice 
       servicePort: 80 
   

5. Warten Sie einige Minuten, geduldig

6. Ändern Sie den Gesundheits-Check auf http Load Balancer

   ein. Wechseln Sie zur Registerkarte Load Balancing on Networking

   b. Klicken Sie auf Advance-Menü

   c. Go Backend Services und Bearbeiten

   d.Aktualisieren Sie Gesundheits-Check-Option verwenden, einen für nodeport Service erstellt

7. Wiederholen Sie Schritt 5 zum Beispiel Gruppe zu erkennenden Gesundheit

8. SSL erforderlich ist, gehen Sie zurück, um das Darlehen Balancer, zu bearbeiten, Frontend-Konfiguration klicken, dann hinzufügen https mit cert

9. Sie sind bereit, die zweite Option mit L7 zum Lastenausgleich rollen

Answer 2

Ich bin mir nicht sicher, dass ich Sie Frage vollständig verstehe, aber ich werde versuchen, es trotzdem zu beantworten.

Sie haben zwei Möglichkeiten für Ihren Dienst mit einem Zertifikat signiert von einer vertrauenswürdigen CA aussetzt:

1. Tun Sie, was Sie heute tun, sondern mit dem realen cert. Sie werden wahrscheinlich das Cert in ein Geheimnis setzen und Ihre Nginx-Konfiguration darauf richten, um das Cert zu laden.

2. Ersetzen Sie Nginx mit dem Google L7 Lastenausgleich. Sie würden Ihr Zertifikat auf Google hochladen, den L7-Balancer so konfigurieren, dass er HTTPS beendet und Traffic an Ihre Back-Ends weiterleitet.