Kubernetes入口：如何啓用HTTPS到後端服務

Question

與TLS配置一個典型的入口是象下面這樣：

apiVersion: extensions/v1beta1 kind: Ingress metadata: name: no-rules-map spec: tls: - secretName: testsecret backend: serviceName: s1 servicePort: 80

默認情況下，負載平衡器會跟後端服務的HTTP。我可以配置Ingress，使負載均衡器和後端服務之間的通信也是HTTPS嗎？

更新：

找到​​談論啓用HTTPS後端的GCE入口。從文件摘錄：

「後端HTTPS

負載平衡器和您的Kubernetes服務之間的加密通信，你需要裝飾服務的端口爲期待HTTPS有一個alpha服務註釋用於指定每預期的協議。服務端口，在將協議視爲HTTPS時，入口控制器將通過HTTPS運行狀況檢查來組裝具有HTTPS後端服務的GCP L7負載均衡器。「

不清楚負載均衡器是接受第三方簽名的服務器證書，自簽名還是兩者。如何在負載平衡器上配置CA證書以進行後端服務器身份驗證。或者它會繞過驗證檢查。

Answer 1

您應該爲入口或負載均衡器啓用SSL直通配置。 我建議你使用nginx入口和kube-lego進行SSL。

使用此組合，您可以使用ssl-passthrough配置。

Nginx ingress for k8s

kube-lego for generating SSL certificate on the fly

Guidance for enable ssl-passthrough config

Answer 2

按照的​​「後端HTTPS」 節中的說明， GCP HTTP（S）負載平衡器將建立與後端HTTPS連接，流量會被加密。沒有必要在LB端配置CA證書（實際上你不能）。這意味着負載均衡器將跳過服務器證書認證。