Traefik 是一个现代 HTTP 反向代理和负载均衡服务器,支持众多后端(Docker、Swarm、Kubernetes、Marathon 等等)下的动态配置。
Ingress 是 Kubernetes 对外暴露服务的一种方式,可以通过域名、路径等方式,将外部请求转发给集群的内部服务。
Let’s Encrypt 是一个数字证书认证机构,通过自动化方式免费提供 SSL/TLS 证书。
好了凑够一百字了应该,现在开始说正经事。
上面三个东西合起来的话,这篇文章的目的就很清楚了,找个免费的法子把 Kubernetes 的服务升级成高大上的 https。
准备工作
Ingress 首先需要一个域名来工作。
使用
htdigest -c user.dat traefik guest
命令,创建一个名为 guest 的用户,并存储在 user.dat 中,用于后面的密码验证。为 Traefik 准备一个 PVC,用于存储 ACME 生成的认证文件,这里我们命名为 traefik。
加载这一 PVC,并在其中生成空文件
acme.json
。chmod 600 acme.json
。
部署 Traefik
RBAC
在启用了 RBAC 的集群上,需要首先为 Traefik 创建相关的角色绑定:
https://github.com/containous/traefik/tree/master/examples/k8s/traefik-rbac.yaml
Configmap
创建配置文件:
# 开放两个 Ingress 端口 defaultEntryPoints = ["http", "https"] logLevel = "INFO" # 启用 Kubernetes 支持 [kubernetes] # 启用 Web Dashboard [web] address = ":8080" [entryPoints] [entryPoints.http] address = ":80" # http 访问自动转向到 https [entryPoints.http.redirect] entryPoint = "https" [entryPoints.https] address = ":443" [entryPoints.https.auth.digest] # 这一内容来自前面生成的 user.dat,所有服务都启用这一验证 users = ["supervisor:traefik:a47ec349f54a92ba4b00a740950384f7"] [entryPoints.https.tls] # Let's Encrypt 配置 [acme] email = "acme@fleeto.us" # 刚才我们 PVC 中的文件 storage = "/var/data/acme.json" entryPoint = "https" # 生成这些域名的证书 [[acme.domains]] main = "fake-domain.com" sans = ["traefik.fake-domain.com", "kibana.fake-domain.com", "prometheus.fake-domain.com", "grafana.fake-domain.com", "traefik.fake-domain.com", "other.fake-domain.com"]
使用配置文件创建一个 ConfigMap
kubectl create cm traefik --from-file config.toml --dry-run -o yaml > config.map.yaml kubectl apply -f config.map.yaml
Workload
官方网站提供了 Deployment 和 DaemonSet 两种形式的部署方案,这里我们使用 Deployment,因为涉及到 ACME 的存储,以及一些认证配置,所以这里我们需要对其进行一些修改:
源文件:https://github.com/containous/traefik/tree/master/examples/k8s/traefik-deployment.yaml
# 参数修改为 args: - -c - /etc/traefik/config.toml # 加载 PVC 和配置文件 volumeMounts: - name: config mountPath: /etc/traefik - name: data mountPath: /var/data volumes: - name: config configMap: name: traefik - name: data persistentVolumeClaim: claimName: traefik
Service
前面提到 Traefik 自带一个 Dashboard,我们不希望他随意暴露,因此这里拆分为两个服务:
# Ingress kind: Service apiVersion: v1 metadata: name: traefik-ingress-service namespace: kube-system spec: selector: k8s-app: traefik-ingress-lb ports: - protocol: TCP port: 80 name: http - protocol: TCP port: 443 name: https type: LoadBalancer --- # Dashboard kind: Service apiVersion: v1 metadata: name: traefik-admin-service namespace: kube-system spec: selector: k8s-app: traefik-ingress-lb ports: - protocol: TCP port: 8080 type: ClusterIP
使用 Kubectl 运行之后,等待 Pod 启动。
创建 Ingress Resource
我们为traefik-admin-service
启用域名为traefik.fake-domain.com
的 Ingress:
apiVersion: extensions/v1beta1 kind: Ingress metadata: name: traefik spec: tls: - hosts: - traefik.fake-domain.com rules: - host: traefik.fake-domain.com http: paths: - path: / backend: serviceName: traefik-admin-service servicePort: 8080
Ingress 资源创建之后,我们可以使用http://traefik.fake-domain.com
访问这一服务,会看到根据我们的定义:
发生了重定向,并成功转向 https 端口;
https 证书是 Let’s Encrypt 发放的权威证书;
弹出了认证窗口,输入之前我们定义的用户名密码,就能够看到 Traefik 的 Dashboard 页面了。
实际上还可以使用 ETCD 等 KV 数据库来作为 Traefik 的存储后端,就省掉了一个卷的麻烦了。