Istio Ingress控制器

此任务将演示如何通过配置Istio将服务公开到service mesh集群外部。在Kubernetes环境中，Kubernetes Ingress Resources 允许用户指定某个服务是否要公开到集群外部。然而，Ingress Resource规范非常精简，只允许用户设置主机，路径，以及后端服务。为了利用Istio的高级路由能力，我们建议组合使用 Ingress Resource和Istio的路由规则。

注意: Istio 不支持在ingress resource规范中使用ingress.kubernetes.io 注解（annotations）。除了kubernetes.io/ingress.class: istio之外的注解都会被忽略。

前提条件

参照文档安装指南中的步骤安装Istio。
确保当前的目录是istio目录。
启动 httpbin 示例, 我们会把这个服务作为目标（destination）服务公开到外部。

如果你安装了 Istio-Initializer, 请执行：
```
kubectl apply -f samples/httpbin/httpbin.yaml
```
如果没有 Istio-Initializer, 请执行：
```
kubectl apply -f <(istioctl kube-inject -f samples/httpbin/httpbin.yaml)
```

配置 ingress (HTTP)

为 httpbin 服务创建一个基本的 Ingress Resource

cat <<EOF | kubectl create -f -
apiVersion: extensions/v1beta1
kind: Ingress
metadata:
  name: simple-ingress
  annotations:
    kubernetes.io/ingress.class: istio
spec:
  rules:
  - http:
      paths:
      - path: /.*
        backend:
          serviceName: httpbin
          servicePort: 8000
EOF

/.* 是一个 Istio 特殊表示法，以前缀 / 开始的配置，都表示前缀匹配。上面的配置允许访问 httpbin 服务中的所有 URI。然而，实际上我们只想开放一部分特殊的 URI。我们可以先定义一个默认的 deny all 路由规则，将所有的请求都拒绝：

cat <<EOF | istioctl create -f -
## Deny all access from istio-ingress
apiVersion: config.istio.io/v1alpha2
kind: RouteRule
metadata:
  name: deny-route
spec:
  destination:
    name: httpbin
  match:
    # Limit this rule to istio ingress pods only
    source:
      name: istio-ingress
      labels:
        istio: ingress
  precedence: 1
  route:
  - weight: 100
  httpFault:
    abort:
      percent: 100
      httpStatus: 403 #Forbidden for all URLs
EOF

然后，再定义一个高优先级的路由，允许访问 /status/ 前缀的 URI。

cat <<EOF | istioctl create -f -
## Allow requests to /status prefix
apiVersion: config.istio.io/v1alpha2
kind: RouteRule
metadata:
  name: status-route
spec:
  destination:
    name: httpbin
  match:
    # Limit this rule to istio ingress pods only
    source:
      name: istio-ingress
      labels:
        istio: ingress
    request:
      headers:
        uri:
          prefix: /status
  precedence: 2 #must be higher precedence than the deny-route
  route:
  - weight: 100
EOF

这里也可以用其他的路由功能，比如重定向，重写，正则表达式匹配 HTTP headers，websocket upgrades，超时，重试等。详情请参看 routing rules 。

验证 ingress

确定 ingress URL：

如果你的集群运行的环境支持外部的负载均衡器，请使用 ingress 的外部地址：

kubectl get ingress simple-ingress -o wide

NAME             HOSTS     ADDRESS                 PORTS     AGE
simple-ingress   *         130.211.10.121          80        1d

export INGRESS_HOST=130.211.10.121

如果你的环境不支持负载均衡器，使用 ingress 控制器的 pod 的主机 IP：

kubectl get po -l istio=ingress -o jsonpath='{.items[0].status.hostIP}'

169.47.243.100

同时也找到 istio-ingress 服务的 80 端口的 nodePort 映射端口:

kubectl get svc istio-ingress

NAME            CLUSTER-IP     EXTERNAL-IP   PORT(S)                      AGE
istio-ingress   10.10.10.155   <pending>     80:31486/TCP,443:32254/TCP   32m

export INGRESS_HOST=169.47.243.100:31486

使用 curl 访问 httpbin 服务：

curl -I http://$INGRESS_HOST/status/200

HTTP/1.1 200 OK
Server: meinheld/0.6.1
Date: Thu, 05 Oct 2017 21:23:17 GMT
Content-Type: text/html; charset=utf-8
Access-Control-Allow-Origin: *
Access-Control-Allow-Credentials: true
X-Powered-By: Flask
X-Processed-Time: 0.00105214118958
Content-Length: 0
Via: 1.1 vegur
Connection: Keep-Alive

如果访问其他的没有明确公开的 URL，应该收到 HTTP 403 错误

curl -I http://$INGRESS_HOST/headers

HTTP/1.1 403 FORBIDDEN
Server: meinheld/0.6.1
Date: Thu, 05 Oct 2017 21:24:47 GMT
Content-Type: text/html; charset=utf-8
Access-Control-Allow-Origin: *
Access-Control-Allow-Credentials: true
X-Powered-By: Flask
X-Processed-Time: 0.000759840011597
Content-Length: 0
Via: 1.1 vegur
Connection: Keep-Alive

配置安全ingress(HTTPS)

生成必要的secret 用OpenSSL创建测试私钥和证书

openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout /tmp/tls.key -out /tmp/tls.crt -subj "/CN=foo.bar.com"

用kubectl更新secret

kubectl create -n istio-system secret tls istio-ingress-certs --key /tmp/tls.key --cert /tmp/tls.crt

3.为 httpbin服务创建Ingress Resource

cat <<EOF | kubectl create -f -
apiVersion: extensions/v1beta1
kind: Ingress
metadata:
  name: secure-ingress
  annotations:
    kubernetes.io/ingress.class: istio
spec:
  tls:
    - secretName: istio-ingress-certs # currently ignored
  rules:
  - http:
      paths:
      - path: /.*
        backend:
          serviceName: httpbin
          servicePort: 8000
EOF

创建 deny rule ，同时为 /status 前缀创建前文相同的规则。同时，像前面一样，设置 INGRESS_HOST 指向 ingress 服务的 IP 和端口。

注意: Envoy 当前只允许一个 TLS ingress 密钥，因为 SNI 尚未支持。也就是说看，ingress 中的 secretName 字段并没有用，secret 必须叫做 istio-ingress-certs 并且在 istio-system 命名空间（namespace）。

用curl访问安全httpbin服务

curl -I -k https://$INGRESS_HOST/status/200

为gRPC配置ingress

Ingress控制器的path字段当前并不支持. 字符。这会导致使用命名空间的gRPC服务出问题（译注:因为gRPC用 . 分割命名空间和服务名）。为了解决这个问题，可以先把流量导向到一个虚拟（dummy）服务，然后设置路由规则去拦截流量并重定向到期望的服务。

创建一个虚拟ingress服务：

cat <<EOF | kubectl create -f -
apiVersion: v1
kind: Service
metadata:
  name: ingress-dummy-service
spec:
  ports:
  - name: grpc
    port: 1337
EOF

创建一个拦截所有流量的ingress指向虚拟服务：

cat <<EOF | kubectl create -f -
apiVersion: extensions/v1beta1
kind: Ingress
metadata:
  name: all-istio-ingress
  annotations:
    kubernetes.io/ingress.class: istio
spec:
  rules:
  - http:
      paths:
      - backend:
          serviceName: ingress-dummy-service
          servicePort: grpc
EOF

给每个服务创建一个RouteRule ，将流量从虚拟服务重定向到正确的gRPC服务：

cat <<EOF | istioctl create -f -
apiVersion: config.istio.io/v1alpha2
kind: RouteRule
metadata:
  name: foo-service-route
spec:
  destination:
    name: ingress-dummy-service
  match:
    request:
      headers:
        uri:
          prefix: "/foo.FooService"
  precedence: 1
  route:
  - weight: 100
    destination:
      name: foo-service
---
apiVersion: config.istio.io/v1alpha2
kind: RouteRule
metadata:
  name: bar-service-route
spec:
  destination:
    name: ingress-dummy-service
  match:
    request:
      headers:
        uri:
          prefix: "/bar.BarService"
  precedence: 1
  route:
  - weight: 100
    destination:
      name: bar-service
EOF

理解ingress原理

Ingress为外部流量进入Istio service mesh提供一个网关，并使Istio的流量管理和策略功能可用于边缘服务。

在前面的步骤中，我们在Istio service mesh中创建了一个服务，并展示了如何将服务的HTTP和HTTPS公开给外部流量，同时还展示了如何使用Istio路由规则来控制入口流量。

清理

删除密钥，Ingress Resource定义以及Istio规则。

istioctl delete routerule deny-route status-route
kubectl delete ingress simple-ingress secure-ingress
kubectl delete -n istio-system secret istio-ingress-certs

删除httpbin服务。

kubectl delete -f samples/httpbin/httpbin.yaml

进阶阅读

进一步了解和学习Ingress Resources.
进一步了解和学习routing rules.

Provide feedback

Saved searches

Use saved searches to filter your results more quickly

ingress.md

ingress.md

Istio Ingress控制器

前提条件

配置 ingress (HTTP)

验证 ingress

配置安全ingress(HTTPS)

为gRPC配置ingress

理解ingress原理

清理

进阶阅读

Files

ingress.md

Latest commit

History

ingress.md

File metadata and controls

Istio Ingress控制器

前提条件

配置 ingress (HTTP)

验证 ingress

配置安全ingress(HTTPS)

为gRPC配置ingress

理解ingress原理

清理

进阶阅读