查询网站这么做,龙华网站建设网站定制,深圳网站设计公司行业,wordpress调用数据库字段Istio网关Gateway概述 Istio网关Gateway是一个负责处理南北向流量的组件#xff0c;它通常会暴露服务网格内部的服务#xff0c;以便外部的请求能够访问到服务网格中的服务。Istio网关Gateway支持多种协议#xff0c;包括HTTP、HTTPS和GRPC等。
在Istio网关Gateway中#…Istio网关Gateway概述 Istio网关Gateway是一个负责处理南北向流量的组件它通常会暴露服务网格内部的服务以便外部的请求能够访问到服务网格中的服务。Istio网关Gateway支持多种协议包括HTTP、HTTPS和GRPC等。
在Istio网关Gateway中每个服务器都包含一个或多个端口每个端口都定义了一种协议和相应的配置。Istio网关Gateway还可以定义多个TLS证书以便对传输的数据进行加密和解密。
在配置Istio网关Gateway时我们需要指定其所使用的负载均衡算法和服务发现机制。Istio网关Gateway支持多种服务发现机制包括Kubernetes服务发现、Consul服务发现和Eureka服务发现等。 先来部署有TLS的网关。 1.生成密钥对 首选来生成密钥对-keyout是生成私钥。-out是公钥生成的密钥对。生成好了要放在指定的目录下在/etc/istio/ingressgateway-certs/。
[rootk8s-master ~]# mkdir -p /etc/istio/ingressgateway-certs
[rootk8s-master ~]# openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout /etc/istio/ingressgateway-certs/mykey.key -out /etc/istio/ingressgateway-certs/mycrt.crt -subj /CNmytest/Omy-test
Generating a 2048 bit RSA private key
..............................................................................
........................
writing new private key to /etc/istio/ingressgateway-certs/mykey.key
-----
[rootk8s-master ~]# ls /etc/istio/ingressgateway-certs
mycrt.crt mykey.key
这个证书并不是合法的CA颁发的而是我们自己生成的。
2.创建tls类型的secret [rootk8s-master ~]# kubectl create secret generic istio-ingressgateway-certs --from-file /etc/istio/ingressgateway-certs/mykey.key --from-file /etc/istio/ingressgateway-certs/mycrt.crt -n istio 这里的证书正常情况下是CA帮我们颁发的只不过我们这里并没有使用到CA。 serverCertificate: /etc/istio/ingressgateway-certs/mycrt.crt
privateKey: /etc/istio/ingressgateway-certs/mykey.key 多套证书基于多个域名 其实也就是两套证书两套证书分配给不同的域名。
上面是直接服务器端生成了公钥和私钥。如果是生产环境那么就需要去购买证书购买证书可以到阿里云等厂商。 前提
EKS集群可用istio-gateway可用
创建TLS证书secret
kubectl create secret generic shanhaitls-credential -n istio-system \
--from-filecert$Path/certs/server.cer \
--from-filekey$Path/certs/server.key
Gateway添加TLS配置
apiVersion: networking.istio.io/v1alpha3
kind: Gateway
metadata:name: swbom-g-gatewaynamespace: istio-system
spec:selector:istio: ingressgateway # use Istio default gateway implementationservers:- port:number: 80name: httpprotocol: HTTPhosts:- swbom-dev-g.shanhai.huawei.com- swbom-g-test-kuboard-elb.shanhai.huawei.com- port:number: 443name: httpsprotocol: HTTPStls:mode: SIMPLEcredentialName: shanhaitls-credential # must be the same as secrethosts:- swbom-dev-g.shanhai.huawei.com- swbom-g-test-kuboard-elb.shanhai.huawei.com
--- Gateway配置示例
以下是一个使用Istio Gateway进行南北流量管理的示例
apiVersion: networking.istio.io/v1alpha3
kind: Gateway
metadata:name: my-gateway
spec:selector:istio: ingressgatewayservers:- port:number: 80name: httpprotocol: HTTPhosts:- my-service.comtls:mode: SIMPLEserverCertificate: /etc/certs/server.pemprivateKey: /etc/certs/private_key.pem- port:number: 443name: httpsprotocol: HTTPShosts:- my-service.comtls:mode: SIMPLEserverCertificate: /etc/certs/server.pemprivateKey: /etc/certs/private_key.pem- port:number: 8443name: https-adminprotocol: HTTPShosts:- my-admin.comtls:mode: SIMPLEserverCertificate: /etc/certs/server.pemprivateKey: /etc/certs/private_key.pem- port:number: 8080name: grpcprotocol: GRPChosts:- my-service.comtls:mode: SIMPLEserverCertificate: /etc/certs/server.pemprivateKey: /etc/certs/private_key.pem
在上述示例中我们首先定义了一个名为my-gateway的Gateway对象。该对象有一个标签选择器istio: ingressgateway用于将其指定为Istio Ingress Gateway。
在该Gateway对象中我们定义了四个服务器分别处理不同的端口和协议。
其中第一个服务器用于处理HTTP流量第二个服务器用于处理HTTPS流量第三个服务器用于处理HTTPS管理员流量第四个服务器用于处理GRPC流量。每个服务器都定义了一个名为port的子对象用于指定其所使用的端口、协议和端口名称。每个服务器还定义了一个名为hosts的子对象用于指定其所支持的主机名。此外每个服务器还定义了一个名为tls的子对象用于指定其所使用的TLS证书的相关配置。
