security - 在同一个 kubernetes 集群上安装两个 traefik ingress controller

Question

我有一种情况，我计划在 Kubernetes 集群中使用两个单独的 traefik 入口 Controller 。

我有一些 URL，我希望它们只能通过 VPN 访问，而很少有一些可以公开访问。

在当前架构中，我有一个 traefik-ingress Controller 和两个独立的 ALB，一个内部的和一个面向互联网的，都指向 traefik。
比方说，我有一个 URL public.example.com和 private.example.com . public.example.com指向面向互联网的 ALB，并且 private.example.com指向内部 ALB。但是，如果有人知道 public.example.com 的指向怎么办？和点private.example.com指向他的 /etc/hosts ，他将能够访问我的私有(private)网站。

为避免这种情况，我计划运行两个单独的 traefik-ingress-controller，一个将仅提供私有(private) URL 和一个公共(public) URL。这可以做到吗？或者有什么其他方法可以避免这种情况

Answer 1

为了部署两个单独的 traefik-ingress Controller ，分别为私有(private)和公共(public)流量提供服务，我使用了 kubernetes.ingressclass=traefik args。

这是文档对 kubernetes.ingressclass 的描述:

--kubernetes.ingressclass  Value of kubernetes.io/ingress.class annotation to watch for

我创建了两个部署，分别为 kubernetes.ingressclass 设置值。

一个带有 kubernetes.ingressclass=traefik，它位于公共(public) ALB 后面，而 kubernetes.ingressclass=traefik-internal，位于私有(private)/内部 ALB 后面

对于我想私下提供的服务，我在入口对象中使用以下注释:

annotations:
    kubernetes.io/ingress.class: traefik-internal

对于公众

annotations:
  kubernetes.io/ingress.class: traefik

我的 deployment.yaml

---
kind: Deployment
apiVersion: apps/v1
metadata:
  name: traefik-internal-ingress-controller
  namespace: kube-system
  labels:
    k8s-app: traefik-internal-ingress-lb
spec:
  replicas: 1
  selector:
    matchLabels:
      k8s-app: traefik-internal-ingress-lb
  template:
    metadata:
      labels:
        k8s-app: traefik-internal-ingress-lb
    spec:
      serviceAccountName: traefik-internal-ingress-controller
      terminationGracePeriodSeconds: 60
      containers:
      - image: traefik:v1.7
        name: traefik-internal-ingress-lb
        ports:
        - name: http
          containerPort: 80
        - name: admin
          containerPort: 8080
        args:
        - --api
        - --kubernetes
        - --logLevel=INFO
        - --accesslog=true
        - --kubernetes.ingressclass=traefik-internal ##this makes it to watch only for ingress objects with annotaion "kubernetes.io/ingress.class: traefik-internal"

希望这对某人有帮助。