Traefik Automatic Https
前言
traefik 是 Containous 团队推出的一款 ingress 工具，相比 nginx 而言它有着更友好的 dashboard UI 界面
并且支持二进制部署， docker kubernetes 等多种运维平台的原生支持方案，还能在 dashboard 面板中看到整体路由服务的健康情况
以及其他的，traefik 也可以接入 metrics 支持
原理介绍
traefik 自动化 https 的方式使用 Let’s Encrypt 实现，所以我们需要开启 acme
traefik 原生支持三种自动 https 的方式 httpChallenge tlsChallenge 和 dnsChallenge
其中 http 和 tls 的方式需要 80 和 443 端口能被访问到，相当于 le 的服务会亲自验证你的网站是否能够被访问，而后会添加可信证书。
dnsChallenge 的方式则是使用云服务商的 dns 管理功能来实现验证该域名是否属于你，验证成功之后就会发布 https 证书
安装
创建 namespace
为了方便管理，创建一个独立的 namespace
kubectl create ns traefik-system
获取云厂商 AKSK
traefik 支持如下供应商 这里我用的是阿里云账户，为了最小化权限管理，使用了 RAM 账户，获取 RAM 账户的 AKSK 之后，记得给账户添加读写权限，这里给 AKSK 创建一个 secret
apiVersion: v1
kind: Secret
metadata:
name: alicloud-secret
namespace: traefik-system
data:
ALICLOUD_ACCESS_KEY: ${base64 access_key}
ALICLOUD_SECRET_KEY: ${base64 secret_key}
type: Opaque
helm 安装
traefik helm chart github在这里
我们需要 helm 3.0 版本以上
首先添加 traefik 的 helm repo
helm repo add traefik https://helm.traefik.io/traefik
配置额外的 values
新建一个values.yaml文件
additionalArguments:
- --providers.kubernetesingress.ingressclass=traefik # k8s ingress的class 名字叫做 traefik
- --certificatesresolvers.le.acme.dnschallenge.provider=alidns # provider使用alidns
- --certificatesresolvers.le.acme.storage=/data/acme.json #路径要和下面的pvc匹配
- --[email protected]
#注意 这里的certificatesresolvers.le, le只是一个certResolver的名字，也就是我们可以配置多个resolver，独立的ingress中可以配置独立的resolver
envFrom:
- secretRef:
name: alicloud-secret
# 这里填写刚才我们创建的secret名字，注意需要在一个namespace中
ingressClass:
enabled: true # 开启ingressclass
fallbackApiVersion: ""
isDefaultClass: true
# 由于我们用了acme storage 所以需要pvc存储实际申请的证书的信息，空间不用太大 128m即可
persistence:
accessMode: ReadWriteOnce
annotations: {}
enabled: true
name: data
path: /data
size: 128Mi
storageClass: nfs-client # storageclass 根据需要填写
ports:
metrics:
expose: false
exposedPort: 9100
port: 9100
protocol: TCP
traefik:
expose: false
exposedPort: 9000
port: 9000
protocol: TCP
web:
expose: true
exposedPort: 80
port: 8000
# hostPort: 8000
protocol: TCP
websecure:
expose: true
exposedPort: 443
port: 8443
# hostPort: 8443
protocol: TCP
tls:
certResolver: le # 配置默认的resolver名字，和上文一样
domains: # 配置的主域名和从泛域名， 这里只有匹配的域名才会自动加证书
- main: incubator4.com
sans: # 注意 多级泛域名需要单独填写，不支持*.test.com 匹配a.b.c.test.com
- "*.incubator4.com"
- "*.rancher.incubator4.com"
enabled: true
options: ""
providers:
kubernetesCRD:
enabled: true
namespaces: []
kubernetesIngress:
enabled: true
namespaces: []
publishedService:
enabled: false
deployment:
enabled: true
kind: Deployment # 可以选择Daemonset的形式
replicas: 1
service:
enabled: true
type: ClusterIP # 可以选用ClusterIP / LoadBalancer
根据集群具体情况使用 deployment 还是 daemonset
请各位同学根据自己情况斟酌使用哪种方式
使用 daemonset
daemonset 使用 node selector 使得 pod 落到特定的 node 上，启用 hostport 让容器绑定该机器的物理端口，可以直接用 node-ip:node-port 访问 pod。
PC -> node Port -> pod port
这种方式不经过 svc，适用于 裸金属 kubernetes，能直接通过 ip 连接到 node 节点的情况
使用 deployment
众所周知，云厂商提供了 LoadBalancer 的形式，使得创建的 service 具有一个公网 IP，可以在外网（或者内网，一般指集群外）直接访问 service 这种方式使用 loadbalance 形式的 service 为 traefik deployment 提供负载均衡 而后直接访问 loadbalance 的 ip 就相当于直接访问到 traefik 的 svc 了
部署
一句话
helm install traefik traefik/traefik -n traefik-system -f values.yaml
访问 dashboard
在 traefik-system 中创建如下资源
apiVersion: traefik.containo.us/v1alpha1
kind: IngressRoute
metadata:
name: traefik-dashboard-route
spec:
entryPoints:
- web
routes:
- match: Host(`traefik.incubator4.com`)
kind: Rule
services:
- kind: TraefikService
name: api@internal
应用之后就可以通过 http 访问了
测试自动加密证书
在上文 yaml 资源中的 entryPoint 添加一个 websecure，如下所示
kind: IngressRoute
metadata:
name: traefik-dashboard-route
spec:
entryPoints:
- web
- websecure
routes:
- match: Host(`traefik.incubator4.com`)
kind: Rule
services:
- kind: TraefikService
name: api@internal
部署完成之后，把协议修改成 https 即可
注： 由于 LE 发证书需要一定的时间，受网络环境 集群性能影响，所以过快打开可能会出现证书错误的情况，traefik 会默认使用 traefik default 的证书，可以通过看 traefik pod 的 log 来 debug