使用外部負載平衡器公開入口閘道

總覽

您可以使用 Cloud Service Mesh 部署及管理服務中繼的入口網關。您可以使用外部負載平衡器 (叢集外部的實體或軟體負載平衡器)，將流量傳送至輸入閘道，進一步為叢集設定 Cloud Service Mesh 負載平衡。

本頁面說明如何使用 Cloud Service Mesh 設定外部負載平衡器。或者，您也可以設定含有多個後端設定的入口。

事前準備

如要完成本文件中的步驟，您需要下列資源：

  • 已安裝 Cloud Service Mesh 的 Kubernetes 叢集。

  • 外部負載平衡器，可存取叢集執行所在的節點。您將透過 External IP Address 將這個外部負載平衡器設定為叢集的入口網關前端。

設定環境

請在可存取您要使用的叢集的工作站上執行下列指令。請確認 kubectl 工具已設定為使用叢集專屬的叢集背景資訊。

  1. 設定環境變數。

    export ASM_INGRESSGATEWAY_NAMESPACE=asm-ingressgateway
export ASM_INGRESSGATEWAY_DEPLOYMENT_NAME=asm-ingressgateway
export ASM_INGRESSGATEWAY_SERVICE_NAME=asm-ingressgateway
export ASM_INGRESSGATEWAY_NODE_LABEL=asm-ingressgateway

  2. 設定外部負載平衡器的 IP address。

    export EXTERNAL_LB_IP_ADDRESS=EXTERNAL_LB_IP_ADDRESS

  3. [選用] 為輸入閘道節點加上標籤。這可確保閘道會部署至叢集中的特定節點。

    kubectl label nodes INGRESSGATEWAY_NODE_IP ${ASM_INGRESSGATEWAY_NODE_LABEL}=
    • INGRESSGATEWAY_NODE_IP：Kubernetes 叢集中代管輸入閘道的節點。針對您擁有的所有入口節點執行此 kubectl 指令。

建立入口閘道

  1. 建立命名空間。這個命名空間將用於部署入口網關。

    kubectl create namespace ${ASM_INGRESSGATEWAY_NAMESPACE}

  2. 啟用要用於插入的命名空間。步驟取決於 Cloud Service Mesh 類型 (受管理或叢集內)。

    代管

    1. 使用下列指令找出可用的發布版本：

      kubectl -n istio-system get controlplanerevision

      輸出結果會與下列內容相似：

      NAME                AGE
asm-managed         6d7h
asm-managed-rapid   6d7h

      在輸出內容中，NAME 欄下方的值是修訂版本標籤，對應至 Cloud Service Mesh 版本的發布管道。

    2. 將修訂版本標籤套用至命名空間：

      kubectl label namespace ${ASM_INGRESSGATEWAY_NAMESPACE} \
  istio-injection- istio.io/rev=REVISION_LABEL --overwrite

    叢集內

    1. 使用下列指令，找出 istiod 上的修訂版本標籤：

      kubectl get deploy -n istio-system -l app=istiod -o \
  jsonpath={.items[*].metadata.labels.'istio\.io\/rev'}'{"\n"}'

    2. 將修訂標籤套用至命名空間。在下列指令中，REVISION 是您在上一個步驟中記下的 istiod 修訂版本標籤值。

      kubectl label namespace ${ASM_INGRESSGATEWAY_NAMESPACE} \
  istio-injection- istio.io/rev=REVISION --overwrite

  3. 套用Ingress Gateway 資訊清單檔案。

    kubectl --namespace ${ASM_INGRESSGATEWAY_NAMESPACE} apply --filename https://raw.githubusercontent.com/GoogleCloudPlatform/anthos-service-mesh-samples/main/docs/ingress-gateway-external-lb/ingress-gateway.yaml

    預期輸出內容：

    serviceaccount/asm-ingressgateway created
role.rbac.authorization.k8s.io/asm-ingressgateway created
rolebinding.rbac.authorization.k8s.io/asm-ingressgateway created
deployment.apps/asm-ingressgateway created
service/asm-ingressgateway created
poddisruptionbudget.policy/asm-ingressgateway created
horizontalpodautoscaler.autoscaling/asm-ingressgateway created

  4. 使用外部負載平衡器 IP 位址修補 ingressgateway 服務。

    cat <<EOF > asm-external-ip-patch.yaml
spec:
  externalIPs:
    - ${EXTERNAL_LB_IP_ADDRESS}
  loadBalancerIP: ${EXTERNAL_LB_IP_ADDRESS}
EOF

kubectl --namespace ${ASM_INGRESSGATEWAY_NAMESPACE} patch service/${ASM_INGRESSGATEWAY_SERVICE_NAME} --patch "$(cat asm-external-ip-patch.yaml)"

  5. [選用] 為輸入閘道節點標籤相依性，修補 ingressgateway 部署。

    cat <<EOF > asm-ingress-node-label-patch.yaml
spec:
  template:
    spec:
      affinity:
        nodeAffinity:
          requiredDuringSchedulingIgnoredDuringExecution:
            nodeSelectorTerms:
            - matchExpressions:
              - key: ${ASM_INGRESSGATEWAY_NODE_LABEL}
                operator: Exists
EOF

kubectl --namespace ${ASM_INGRESSGATEWAY_NAMESPACE} patch deployment/${ASM_INGRESSGATEWAY_DEPLOYMENT_NAME} --patch "$(cat asm-ingress-node-label-patch.yaml)"

設定外部負載平衡器

在本節中，您將設定外部負載平衡器，以便從叢集連線至輸入閘道。

擷取輸入閘道 Service 的通訊埠資訊

  1. 取得 NodePorts。

    export HTTP_INGRESS_PORT=$(kubectl --namespace ${ASM_INGRESSGATEWAY_NAMESPACE} get service/${ASM_INGRESSGATEWAY_SERVICE_NAME} --output jsonpath='{.spec.ports[?(@.name=="http2")].nodePort}')
export HTTPS_INGRESS_PORT=$(kubectl --namespace ${ASM_INGRESSGATEWAY_NAMESPACE} get service/${ASM_INGRESSGATEWAY_SERVICE_NAME} --output jsonpath='{.spec.ports[?(@.name=="https")].nodePort}')
export STATUS_PORT=$(kubectl --namespace ${ASM_INGRESSGATEWAY_NAMESPACE} get service/${ASM_INGRESSGATEWAY_SERVICE_NAME} --output jsonpath='{.spec.ports[?(@.name=="status-port")].nodePort}')

  2. 顯示 NodePorts。

    echo HTTP_INGRESS_PORT=${HTTP_INGRESS_PORT}
echo HTTPS_INGRESS_PORT=${HTTPS_INGRESS_PORT}
echo STATUS_PORT=${STATUS_PORT}

設定外部負載平衡器

使用上一個步驟顯示的 NodePorts，設定外部負載平衡器和 Ingress 閘道之間的連線。

  1. 在負載平衡器設定中設定健康狀態檢查。

    hosts:    CLUSTER_NODE_IP
Protocol: HTTP
Port:     STATUS_PORT
Path:     /healthz/ready

    • CLUSTER_NODE_IP：Kubernetes 叢集中代管入口閘道的節點 IP 位址。這個 IP 位址必須可從外部負載平衡器存取。您可能需要多次設定這項設定，每個叢集節點一次。

    • STATUS_PORT：是透過 NodePort 公開入口網關的健康狀態 API。您可以從上一個步驟複製這項資訊。叢集中的每個節點都會使用相同的值。

  2. 在負載平衡器中設定節點集區，以便將 HTTP 和 HTTPS 流量進行路由。請針對通訊埠 80 (HTTP) 和通訊埠 443 (HTTPS) 的流量使用下列 IP:PORT 設定。

    80  ->  CLUSTER_NODE_IP:HTTP_INGRESS_PORT
443 ->  CLUSTER_NODE_IP:HTTPS_INGRESS_PORT

    • CLUSTER_NODE_IP：Kubernetes 叢集中代管入口閘道的節點 IP 位址。這個 IP 位址必須可從外部負載平衡器存取。您可能需要多次設定這項設定，每個叢集節點一次。

    • HTTP_INGRESS_PORT：是 NodePort，透過該 NodePort 公開入口網關的 HTTP 流量。您可以從上一個步驟複製這項資訊。叢集中的每個節點都會使用相同的值。

    • HTTPS_INGRESS_PORT：是 NodePort，透過該 NodePort 公開入口閘道的 HTTPS 流量。您可以從上一個步驟複製這項資訊。叢集中的每個節點都會使用相同的值。

如要驗證設定，請確認負載平衡器的健康狀態檢查結果為通過。

後續步驟