Kubernetes、Ingress Nginx 和太多的重定向

Question

我正在使用堆栈 Nginx + Kubernetes 和 Ingress Nginx 来安装 Ghost 博客。我的 K8s 部署和 Nginx 配置如下。

问题是在访问已部署的博客时，我从浏览器收到了太多重定向错误。我猜根本原因是在 Nginx 入口中没有正确配置 HTTPS URL，但我没有正确的方法来解决它。有人可以指出我这里出了什么问题？

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: my-blog
spec:
  rules:
  - host: my-blog.com
    http:
      paths:
      - backend:
          service:
            name: my-blog
            port:
              number: 2368
        path: /
        pathType: Prefix
---
apiVersion: v1
kind: Service
metadata:
  labels:
    app: my-blog
  name: my-blog
spec:
  ports:
  - port: 2368
    protocol: TCP
  selector:
    app: my-blog
---
apiVersion: apps/v1
kind: Deployment
metadata:
  labels:
    app: my-blog
  name: my-blog
spec:
  replicas: 1
  selector:
    matchLabels:
      app: my-blog
  template:
    metadata:
      labels:
        app: my-blog
    spec:
      containers:
      - env:
        - name: url
          value: https://my-blog.com
        image: ghost:latest
        name: my-blog
        ports:
        - containerPort: 2368
      terminationGracePeriodSeconds: 30

server {
    server_name my-blog.com;

    location / {
        proxy_set_header        X-Real-IP $remote_addr;
        proxy_set_header        X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header        X-Forwarded-Proto https;
        proxy_set_header        Host $http_host;
        proxy_intercept_errors  on;
        proxy_pass http://k8s_cluster;
    }

    listen 443 ssl;
    ssl_certificate /etc/letsencrypt/live/my-blog.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/my-blog.com/privkey.pem;
    include /etc/letsencrypt/options-ssl-nginx.conf;
    ssl_dhparam /etc/letsencrypt/ssl-dhparams.pem;

}
server {
    if ($host = my-blog.com) {
        return 301 https://$host$request_uri;
    }

    server_name my-blog.com;

    listen 80;
    return 404;
}

Answer 1

如果您使用的是 Nginx 入口，不确定为什么要使用 Nginx 配置。

这是由于 Nginx 入口端的 HTTPS 重定向造成的问题

您应该必须在 Nginx 入口级别实现 SSL 终止

apiVersion: apps/v1beta1
kind: Deployment
metadata:
  name: blog
  labels:
    app: blog
spec:
  replicas: 1
  selector:
    matchLabels:
      app: blog
  template:
    metadata:
      labels:
        app: blog
    spec:
      containers:
      - name: blog
        image: ghost:2.6-alpine
        imagePullPolicy: Always
        ports:
        - containerPort: 2368
        env:
        - name: url
          value: http://my-blog.com 

使用纯 HTTP 运行您的站点并在入口 nginx 处终止 SSL，以便您的站点将在 HTTP 上运行，并且从入口到集群内部的流量将在 HTTP 上运行。您的流程将类似于

Internet HTTPs > ingress HTTP > kubernets svc HTTP > deployment > pods > container 

您必须将您的证书设置为入口级别，以便您可以将证书存储在 Kubernetes 机密中并将该机密附加到入口，以便您的网站将在 HTTPS 上运行

入口示例

apiVersion: extensions/v1beta1
kind: Ingress
metadata:
  name: service-ingress
  annotations:  
    kubernetes.io/ingress.class: nginx
    #certmanager.k8s.io/cluster-issuer: letsencrypt-staging
spec:
  tls:
  - hosts:
    - service1.example.com
    secretName: letsencrypt-staging
  rules:
  - host: service1.example.com
    http:
      paths:
      - backend:
          serviceName: service1
          servicePort: 80

这样您的网站将在 HTTPS 上运行，但 SSL 在 Nginx 级别终止。

您的 SSL 证书将存储在上述示例中的 K8s 密码中，您可以看到密码名称 letsencrypt-staging

参考：https://medium.com/@harsh.manvar111/kubernetes-nginx-ingress-and-cert-manager-ssl-setup-c82313703d0d