kubernetes - 在 traefik TCP 路由映射中使用 hostSNI(*) 有什么缺点

Question

现在我正在使用 HostSNI(*) 来映射 TCP 服务，例如 traefik 2.2.1 中的 mysql\postgresql... Kubernetes 集群 v1.18 。因为我在我的本地机器上并且没有有效的证书。这是配置:

apiVersion: traefik.containo.us/v1alpha1
kind: IngressRouteTCP
metadata:
    name: mysql-ingress-tcp-route
    namespace: middleware
spec:
    entryPoints:
        - mysql
    routes:
        - match: HostSNI(`*`)
          services:
            - name: report-mysqlha
                port: 3306

配置在我的本地机器上运行良好。但我还是想知道使用的副作用HostSNI() 映射策略。使用 HostSNI() 而不是域名有什么缺点？是否可以在我的本地机器上使用假域名？

Answer 1

对于那些需要带有 TLS 直通和 SNI 路由的 TCP 示例的人

apiVersion: traefik.containo.us/v1alpha1
kind: IngressRouteTCP
metadata:
  name: test-https
  namespace: mynamespace
spec:
  entryPoints:
  - websecure # maps to port 443 by default
  routes:
  - match: HostSNI(`my.domain.com`)
    services:
    - name: myservice
      port: 443
  tls:
    passthrough: true