公网如何访问k8s运行的服务

公网访问Kubernetes（k8s）运行的服务可以通过以下几种方式：使用Service类型为LoadBalancer、通过Ingress资源、使用NodePort服务、配置外部DNS解析。 其中，使用Service类型为LoadBalancer 是最为常用和高效的方法。它通过自动配置一个云提供商的负载均衡器，将外部流量引导到k8s集群内的服务上。这种方法无需手动配置复杂的网络和防火墙规则，简化了公网访问的流程。下面将详细介绍这些方法的具体操作步骤和注意事项。

一、使用Service类型为LoadBalancer

使用Service类型为LoadBalancer 是公网访问Kubernetes服务的最简单和常用方法之一。LoadBalancer服务类型会自动配置一个云提供商的负载均衡器，将外部流量引导到k8s集群内的服务上。此方法适用于所有主要的云提供商，如AWS、GCP和Azure。

创建LoadBalancer服务：

首先，确保你的k8s集群运行在支持LoadBalancer的云环境中。创建一个LoadBalancer类型的Service，示例如下：

apiVersion: v1 kind: Service metadata: name: my-loadbalancer-service spec: selector: app: my-app ports: - protocol: TCP port: 80 targetPort: 9376 type: LoadBalancer

验证LoadBalancer的IP：

部署完成后，使用kubectl get svc my-loadbalancer-service命令获取分配的外部IP地址。这个IP地址就是外部用户访问服务的入口。
配置防火墙规则：

确保云提供商的防火墙规则允许外部流量访问LoadBalancer分配的IP地址和端口。

二、使用Ingress资源

使用Ingress资源 是另一种常见的公网访问方式，尤其适用于需要基于HTTP/HTTPS协议的流量管理。Ingress控制器可以处理域名解析、路径路由和SSL终止等复杂需求。

部署Ingress控制器：

在k8s集群中部署一个Ingress控制器，如Nginx Ingress Controller、Traefik等。可以使用Helm Chart进行快速部署：

helm install nginx-ingress stable/nginx-ingress

定义Ingress资源：

创建一个Ingress资源来配置域名和路径路由规则：

apiVersion: networking.k8s.io/v1 kind: Ingress metadata: name: my-ingress spec: rules: - host: example.com http: paths: - path: / pathType: Prefix backend: service: name: my-service port: number: 80

配置DNS解析：

将域名example.com解析到Ingress控制器的外部IP地址，确保用户可以通过域名访问服务。
配置SSL证书：

为确保数据传输安全，可以配置SSL证书。使用Cert-Manager自动管理和颁发SSL证书：

apiVersion: cert-manager.io/v1 kind: Certificate metadata: name: example-com spec: secretName: example-com-tls dnsNames: - example.com issuerRef: name: letsencrypt-prod kind: ClusterIssuer

三、使用NodePort服务

使用NodePort服务 是一种最简单但不推荐的公网访问方法，适用于测试或小规模应用。NodePort服务会在每个k8s节点上打开一个特定端口，并将外部流量路由到内部服务。

创建NodePort服务：

定义一个NodePort类型的Service，示例如下：

apiVersion: v1 kind: Service metadata: name: my-nodeport-service spec: selector: app: my-app ports: - protocol: TCP port: 80 targetPort: 9376 nodePort: 30007 type: NodePort

获取节点IP地址：

使用kubectl get nodes -o wide命令获取所有节点的外部IP地址。NodePort服务会在这些IP地址上的指定端口（如30007）开放访问。
配置防火墙规则：

确保云提供商的防火墙规则允许外部流量访问所有节点的指定端口。

四、配置外部DNS解析

配置外部DNS解析 是确保用户能够通过域名访问k8s服务的重要步骤。DNS解析将域名映射到服务的外部IP地址或负载均衡器地址。

获取外部IP地址：

根据前面提到的方法获取LoadBalancer、Ingress或NodePort服务的外部IP地址。
配置DNS记录：

在你的DNS提供商处添加一个A记录或CNAME记录，将域名指向获取的外部IP地址。例如，在AWS Route 53中添加A记录：

example.com. 300 IN A 203.0.113.1

验证DNS解析：

使用nslookup example.com或dig example.com命令验证DNS解析是否正确。
配置SSL证书：

为确保数据传输安全，可以在DNS解析完成后配置SSL证书，使用Cert-Manager自动管理和颁发SSL证书。

五、使用反向代理

使用反向代理 是另一种灵活且强大的公网访问方法。反向代理服务器（如Nginx、HAProxy）可以处理负载均衡、SSL终止和路径路由等功能。

部署反向代理服务器：

在k8s集群外部或内部部署一个反向代理服务器。可以使用Nginx作为反向代理示例：

server {
    listen 80;
    server_name example.com;
    location / {
        proxy_pass http://my-service:80;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
    }
}

配置DNS解析：

将域名解析到反向代理服务器的外部IP地址。
配置SSL证书：

在反向代理服务器上配置SSL证书，确保数据传输安全。可以使用Certbot获取免费的SSL证书：

certbot --nginx -d example.com

六、使用云提供商特定服务

使用云提供商特定服务 是一种高度集成且方便的公网访问方法。各大云提供商（如AWS、GCP、Azure）提供了专门的服务来简化k8s的公网访问。

AWS ELB：

使用AWS的Elastic Load Balancer（ELB）来管理公网访问。创建一个ELB并将其配置为指向k8s集群的服务。

aws elb create-load-balancer --load-balancer-name my-loadbalancer --listeners "Protocol=HTTP,LoadBalancerPort=80,InstanceProtocol=HTTP,InstancePort=80" --subnets subnet-12345678

GCP GKE Ingress：

使用GCP的GKE Ingress来管理公网访问。在GKE集群中创建一个Ingress资源，并配置GCP的负载均衡器。

apiVersion: networking.k8s.io/v1 kind: Ingress metadata: name: my-ingress annotations: kubernetes.io/ingress.global-static-ip-name: "my-static-ip" spec: rules: - host: example.com http: paths: - path: / pathType: Prefix backend: service: name: my-service port: number: 80

Azure AKS Load Balancer：

使用Azure的AKS Load Balancer来管理公网访问。在AKS集群中创建一个LoadBalancer类型的Service，并配置Azure的负载均衡器。

apiVersion: v1 kind: Service metadata: name: my-loadbalancer-service spec: selector: app: my-app ports: - protocol: TCP port: 80 targetPort: 9376 type: LoadBalancer

七、使用服务网格

使用服务网格 是一种现代化的微服务管理方法。服务网格（如Istio、Linkerd）可以提供高级的流量管理、安全和监控功能。

部署服务网格：

在k8s集群中部署服务网格，如Istio。可以使用Helm Chart进行快速部署：

helm install istio-base istio/base -n istio-system helm install istiod istio/istiod -n istio-system

配置Ingress Gateway：

创建一个Ingress Gateway来管理外部流量入口：

apiVersion: networking.istio.io/v1alpha3 kind: Gateway metadata: name: my-gateway spec: selector: istio: ingressgateway servers: - port: number: 80 name: http protocol: HTTP hosts: - "example.com"

配置VirtualService：

定义一个VirtualService来配置流量路由规则：

apiVersion: networking.istio.io/v1alpha3 kind: VirtualService metadata: name: my-virtualservice spec: hosts: - "example.com" gateways: - my-gateway http: - match: - uri: prefix: "/" route: - destination: host: my-service port: number: 80