ssl - 使用 Google Container Engine Ingress 确保 SSL 一直到 pod

Question

我有一个使用自签名证书在 443 上提供 HTTPS 流量的 pod，其 CN 为 app，与服务名称 app 相匹配。它还在 80 上提供 HTTP。

我还有一个 Ingress 对象，它在 foo.com 上向外部公开 pod，我使用 kube-lego 为 foo.com 动态获取和配置 LetsEncrypt 证书:

spec:
  rules:
  - host: foo.com
    http:
      paths:
      - backend:
          serviceName: kube-lego-gce
          servicePort: 8080
        path: /.well-known/acme-challenge/*
      - backend:
          serviceName: app
          servicePort: 80
        path: /*
  tls:
  - hosts:
    - foo.com
    secretName: app-tls-staging

这意味着有两个级别的 SSL。如果我将 Ingress 的 servicePort 设置为 443 以确保 Google 的 LB 和我的 pod 之间的流量被加密，端点将返回 502 服务器错误。这是因为它不知道信任我的自签名证书吗？有没有办法指定 CA？

一旦我将其设置回 80，Ingress 会在几分钟后再次开始正常工作。

Answer 1

您正在寻找的是负载均衡器 <=> 集群流量的“重新加密”。如果你看到 here ，重新加密被列为“ future 的工作”。

但我看到此功能已合并:https://github.com/kubernetes/ingress/pull/519/commits

看起来你可以找到一个 example here它在本文档中被描述为“后端 HTTPS”:https://github.com/kubernetes/ingress/tree/master/controllers/gce#backend-https

但是今天此功能似乎处于 alpha 阶段，因此它可能会发生变化，您可能需要创建一个 alpha GKE 集群(这是短暂的)才能使用它。