k8s部署之后如何访问

一、K8S部署之后如何访问

K8s部署之后，可以通过Service、Ingress、kubectl port-forward、NodePort等方式进行访问。Service是最常用的一种方法，它为一组Pod提供了一个稳定的访问接口。Service有不同的类型，如ClusterIP、NodePort和LoadBalancer。ClusterIP只能在集群内部访问，而NodePort和LoadBalancer可以在集群外部访问。Ingress通过定义规则来管理外部访问，通常与反向代理和负载均衡器结合使用。kubectl port-forward是开发和调试时常用的命令，可以将本地端口转发到Pod的端口上。NodePort会在每个节点上开放一个端口，通过这个端口可以访问到服务。接下来，我们将详细讲解这些方法。

二、SERVICE

Service是Kubernetes中的一种资源对象，主要用于将一组Pod绑定在一起并提供稳定的网络访问接口。Service有以下几种类型：

1. ClusterIP: ClusterIP是Service的默认类型，分配一个集群内部的IP地址，Pod只能通过这个IP地址在集群内部通信。使用ClusterIP时，外部流量无法直接访问服务。

2. NodePort: NodePort会在每个节点上开放一个特定的端口，通过这个端口可以从外部访问服务。NodePort会自动创建一个ClusterIP类型的Service，并且分配一个随机的高端口号（30000-32767）或指定的端口号。通过NodeIP:NodePort的方式可以访问服务。

3. LoadBalancer: LoadBalancer会在云环境中自动创建一个外部负载均衡器，从而使服务可以被外部访问。LoadBalancer类型的Service会自动创建一个NodePort类型的Service，并且分配一个外部IP地址。通过这个外部IP地址，流量会被负载均衡器分发到后端的Pod。

4. ExternalName: ExternalName类型的Service会将请求转发到指定的DNS名称。这个类型的Service不会创建ClusterIP，而是直接解析为指定的外部DNS名称。

示例：创建一个NodePort类型的Service

apiVersion: v1

kind: Service
metadata:
  name: my-service
spec:
  type: NodePort
  selector:
    app: MyApp
  ports:
    - protocol: TCP
      port: 80
      targetPort: 8080
      nodePort: 30001

这个示例创建了一个名为my-service的Service，将接收到的80端口的流量转发到后端Pod的8080端口，并在每个节点上开放了30001端口。

三、INGRESS

Ingress是一种管理外部访问到Kubernetes服务的API对象，可以提供负载均衡、SSL终止和基于名称的虚拟托管等功能。Ingress规则定义了如何将外部HTTP和HTTPS流量路由到集群中的服务。通常，Ingress需要一个Ingress Controller来实现这些规则。常见的Ingress Controller有Nginx、Traefik和HAProxy等。

1. 安装Ingress Controller

大多数Kubernetes集群不会默认安装Ingress Controller，因此需要手动安装。以Nginx Ingress Controller为例，可以通过以下命令安装：

kubectl apply -f https://raw.githubusercontent.com/kubernetes/ingress-nginx/main/deploy/static/provider/cloud/deploy.yaml

2. 创建Ingress资源

创建一个Ingress资源来定义路由规则。例如，将example.com的流量路由到my-service的80端口：

apiVersion: networking.k8s.io/v1

kind: Ingress
metadata:
  name: example-ingress
spec:
  rules:
  - host: example.com
    http:
      paths:
      - path: /
        pathType: Prefix
        backend:
          service:
            name: my-service
            port:
              number: 80

这个示例创建了一个名为example-ingress的Ingress资源，将example.com的所有请求转发到my-service的80端口。

3. 配置DNS

为了使域名example.com指向Ingress Controller的外部IP地址，需要在DNS提供商处添加A记录。例如，将example.com指向Ingress Controller的外部IP地址203.0.113.1。

四、KUBECTL PORT-FORWARD

kubectl port-forward命令用于将本地端口转发到Pod的端口上，通常用于开发和调试。它的使用方法如下：

1. 查找Pod名称

首先，使用以下命令查找目标Pod的名称：

kubectl get pods -n <namespace>

2. 运行port-forward命令

使用kubectl port-forward命令将本地端口转发到Pod的端口。例如，将本地8080端口转发到Pod的80端口：

kubectl port-forward pod/<pod-name> 8080:80 -n <namespace>

现在，可以通过访问http://localhost:8080来访问Pod的80端口。这种方法适用于开发和调试环境，但不适合生产环境。

五、NODEPORT

NodePort是一种Service类型，它会在每个节点上开放一个特定的端口，通过这个端口可以从外部访问服务。NodePort服务会自动创建一个ClusterIP类型的Service，并且分配一个随机的高端口号（30000-32767）或指定的端口号。

示例：创建一个NodePort类型的Service

apiVersion: v1

kind: Service
metadata:
  name: my-service
spec:
  type: NodePort
  selector:
    app: MyApp
  ports:
    - protocol: TCP
      port: 80
      targetPort: 8080
      nodePort: 30001

这个示例创建了一个名为my-service的Service，将接收到的80端口的流量转发到后端Pod的8080端口，并在每个节点上开放了30001端口。

如何访问NodePort服务

可以通过以下URL格式访问NodePort服务：

http://<NodeIP>:<NodePort>

例如，如果节点IP地址为192.168.1.10，NodePort为30001，可以通过http://192.168.1.10:30001访问服务。

六、EXTERNALNAME

ExternalName是一种特殊类型的Service，它会将请求转发到指定的DNS名称。这个类型的Service不会创建ClusterIP，而是直接解析为指定的外部DNS名称。

示例：创建一个ExternalName类型的Service

apiVersion: v1

kind: Service
metadata:
  name: external-service
spec:
  type: ExternalName
  externalName: example.com

这个示例创建了一个名为external-service的Service，将请求转发到example.com。

如何访问ExternalName服务

可以通过Service的名称来访问ExternalName服务。Kubernetes会自动解析为指定的外部DNS名称。例如，可以通过external-service来访问example.com。

七、配置DNS和负载均衡

为了确保外部流量能够正确路由到Kubernetes集群中的服务，需要配置DNS和负载均衡器。DNS负责将域名解析为Ingress Controller或LoadBalancer的外部IP地址，负载均衡器负责将外部流量分发到后端的Pod。

1. 配置DNS

在DNS提供商处添加A记录或CNAME记录，将域名指向Ingress Controller或LoadBalancer的外部IP地址。例如，将example.com指向203.0.113.1：

example.com.  IN  A  203.0.113.1

或者，将example.com指向某个负载均衡器的域名：

example.com.  IN  CNAME  lb.example.com.

2. 配置负载均衡器

在云环境中，LoadBalancer类型的Service会自动创建一个外部负载均衡器。例如，在AWS上会创建一个ELB，在GCP上会创建一个GCLB。这些负载均衡器会将外部流量分发到Kubernetes集群中的节点上。

3. 使用MetalLB

对于自建的Kubernetes集群，可以使用MetalLB来实现LoadBalancer功能。MetalLB是一个开源项目，可以在裸机集群上提供负载均衡服务。

安装MetalLB

kubectl apply -f https://raw.githubusercontent.com/metallb/metallb/v0.9.3/manifests/namespace.yaml

kubectl apply -f https://raw.githubusercontent.com/metallb/metallb/v0.9.3/manifests/metallb.yaml

配置MetalLB

创建一个ConfigMap来配置MetalLB的IP地址池：

apiVersion: v1

kind: ConfigMap
metadata:
  namespace: metallb-system
  name: config
data:
  config: |
    address-pools:
    - name: default
      protocol: layer2
      addresses:
      - 192.168.1.240-192.168.1.250

这个示例配置了一个IP地址池192.168.1.240-192.168.1.250，MetalLB会从这个池中分配IP地址给LoadBalancer类型的Service。

八、使用HTTPS和TLS证书

为了确保数据传输的安全性，可以使用HTTPS和TLS证书。Ingress Controller通常支持TLS终止，可以通过配置TLS证书来实现HTTPS访问。

1. 获取TLS证书

可以从受信任的证书颁发机构（CA）获取TLS证书，或者使用Let's Encrypt这样的免费CA。

2. 创建Kubernetes Secret

将TLS证书和私钥创建为Kubernetes Secret：

kubectl create secret tls my-tls-secret --cert=path/to/tls.crt --key=path/to/tls.key

3. 配置Ingress资源

在Ingress资源中引用TLS Secret：

apiVersion: networking.k8s.io/v1

kind: Ingress
metadata:
  name: example-ingress
spec:
  tls:
  - hosts:
    - example.com
    secretName: my-tls-secret
  rules:
  - host: example.com
    http:
      paths:
      - path: /
        pathType: Prefix
        backend:
          service:
            name: my-service
            port:
              number: 80

这个示例在example-ingress中配置了TLS证书my-tls-secret，并将example.com的流量路由到my-service的80端口。

九、监控和日志

为了确保服务的可用性和性能，需要对Kubernetes集群进行监控和日志管理。常见的监控工具有Prometheus和Grafana，常见的日志管理工具有ELK（Elasticsearch、Logstash、Kibana）和EFK（Elasticsearch、Fluentd、Kibana）。

1. 安装Prometheus和Grafana

Prometheus和Grafana是开源的监控和可视化工具，可以通过Helm安装：

helm repo add prometheus-community https://prometheus-community.github.io/helm-charts

helm repo add grafana https://grafana.github.io/helm-charts
helm repo update
helm install prometheus prometheus-community/prometheus
helm install grafana grafana/grafana

2. 配置Prometheus监控Kubernetes

Prometheus需要配置Scrape Targets来监控Kubernetes集群。可以通过ServiceMonitor和PodMonitor来定义这些Targets。

3. 安装EFK

EFK是一个开源的日志管理解决方案，可以通过Helm安装：

helm repo add elastic https://helm.elastic.co

helm repo update
helm install elasticsearch elastic/elasticsearch
helm install fluentd stable/fluentd
helm install kibana elastic/kibana

4. 配置Fluentd收集日志

Fluentd需要配置Input和Output插件来收集和转发日志。可以通过ConfigMap来定义这些配置。

十、总结

Kubernetes提供了多种方式来访问部署后的服务，包括Service、Ingress、kubectl port-forward、NodePort等方法。Service是最基本的方式，通过ClusterIP、NodePort和LoadBalancer等类型可以满足不同的访问需求。Ingress提供了更高级的路由规则，可以实现负载均衡和SSL终止等功能。kubectl port-forward适用于开发和调试环境，可以将本地端口转发到Pod的端口上。NodePort会在每个节点上开放一个特定的端口，通过这个端口可以从外部访问服务。ExternalName类型的Service可以将请求转发到指定的DNS名称。此外，还需要配置DNS和负载均衡器来确保外部流量能够正确路由到集群中的服务。为了确保数据传输的安全性，可以使用HTTPS和TLS证书。监控和日志管理也是保障服务可用性和性能的重要手段。通过这些方法和工具，能够有效地管理和访问Kubernetes中的服务。

相关问答FAQs：

K8s部署之后如何访问？

在完成Kubernetes（K8s）集群的部署后，访问应用程序是一个重要的环节。K8s为我们提供了多种方式来访问集群中的服务。以下是一些常见的访问方法和步骤：

1. 使用kubectl port-forward:
   这是最简单的方法之一，适合在本地测试或调试。通过kubectl的port-forward命令，可以将本地计算机的端口转发到K8s集群中的Pod。命令格式如下：

   kubectl port-forward pod/<pod-name> <local-port>:<pod-port>
   

   例如，如果您的Pod名为“my-app”，且希望将本地的8080端口转发到Pod的80端口，可以使用以下命令：

   kubectl port-forward pod/my-app 8080:80
   

   之后，您可以在浏览器中访问http://localhost:8080来访问应用。

2. 通过Service类型:
   K8s中有多种Service类型可以用于暴露应用程序。最常用的有以下几种：

   • ClusterIP（默认类型）：仅在集群内部可访问，适合内部服务之间的通信。

   • NodePort：在每个节点上打开一个特定的端口，外部流量可以通过节点的IP和端口访问服务。创建NodePort类型的Service时，K8s会自动分配一个端口（范围30000-32767），您可以使用以下命令创建：

     apiVersion: v1
     kind: Service
     metadata:
       name: my-service
     spec:
       type: NodePort
       ports:
         - port: 80
           targetPort: 80
           nodePort: 30001
       selector:
         app: my-app
     

     创建后，可以通过http://<node-ip>:30001访问应用。

   • LoadBalancer：适用于云环境（如AWS、GCP等），K8s会自动为您创建一个负载均衡器，并将流量转发到后端Pods。创建LoadBalancer类型的Service可以参考以下示例：

     apiVersion: v1
     kind: Service
     metadata:
       name: my-service
     spec:
       type: LoadBalancer
       ports:
         - port: 80
           targetPort: 80
       selector:
         app: my-app
     

     通过此方式，您可以直接使用负载均衡器的外部IP进行访问。

3. Ingress Controller:
   Ingress是K8s中用于管理外部访问集群服务的一种资源。它允许用户定义如何路由HTTP/S流量到集群中的服务。使用Ingress时，通常需要先部署一个Ingress Controller（如NGINX Ingress Controller）。配置Ingress资源的示例如下：

   apiVersion: networking.k8s.io/v1
   kind: Ingress
   metadata:
     name: my-ingress
   spec:
     rules:
       - host: myapp.example.com
         http:
           paths:
             - path: /
               pathType: Prefix
               backend:
                 service:
                   name: my-service
                   port:
                     number: 80
   

   配置完成后，您可以通过http://myapp.example.com访问服务。

K8s的访问方式有哪些？

K8s提供了多种方式以满足不同场景下的访问需求。主要的访问方式有以下几种：

1. kubectl命令行工具:
   通过kubectl命令行工具，用户能够直接与K8s集群进行交互。无论是查看Pod状态，还是对服务进行管理，kubectl都提供了丰富的命令支持。例如，您可以使用kubectl get pods命令查看所有Pod的状态，或者通过kubectl describe service <service-name>命令获取特定服务的详细信息。

2. API Server:
   K8s的核心组件之一是API Server，它为外部用户和内部组件提供了RESTful API接口。用户可以通过HTTP请求与API Server交互，进行资源的创建、更新、删除等操作。通过API Server，您可以实现自动化部署和监控等功能。

3. K8s Dashboard:
   K8s Dashboard是一个基于Web的用户界面，用于管理K8s集群中的应用程序。通过Dashboard，用户可以可视化地查看集群状态、创建和删除资源以及管理应用程序。安装和访问Dashboard的过程相对简单，通常只需运行一条命令即可启动服务。

4. Prometheus和Grafana:
   监控和可视化是K8s集群管理的重要组成部分。通过部署Prometheus和Grafana，用户可以实时监控集群状态和应用性能。Prometheus可以抓取集群中的指标数据，而Grafana则用于展示这些数据，提供直观的图表和报表。

5. Service Mesh:
   Service Mesh（如Istio、Linkerd等）为K8s集群中的微服务提供了更为全面的管理和监控能力。通过Service Mesh，用户可以实现流量管理、服务发现、负载均衡、故障恢复、安全策略等功能，从而简化微服务架构的管理。

K8s集群安全性如何保障？

在K8s集群中，安全性是一个至关重要的问题。为了保障集群的安全性，可以采取以下几种措施：

1. RBAC（角色基础访问控制）:
   RBAC是一种基于角色的访问控制机制，可以用于管理用户在K8s集群中的权限。通过定义角色和角色绑定，用户可以被授予特定的权限，从而限制他们对集群资源的访问。

2. 网络策略:
   K8s支持通过网络策略来控制Pod之间的网络流量。用户可以定义哪些Pod可以与其他Pod通信，从而增强集群的网络安全性。网络策略可以根据标签选择器来匹配特定的Pod，实现精细化的流量控制。

3. 安全上下文:
   K8s的安全上下文允许用户为Pod和容器定义安全属性，如运行用户、特权模式、文件系统权限等。通过设置安全上下文，用户可以降低容器运行的权限，从而减少潜在的安全风险。

4. 密钥管理:
   K8s支持使用Secrets来管理敏感信息，如密码、API密钥等。通过使用Secrets，用户可以将敏感数据存储在K8s中，而不是将其硬编码在配置文件中，从而降低数据泄露的风险。

5. 审计日志:
   启用K8s的审计日志功能，可以记录集群中的所有操作，便于后期的审计和排查。审计日志可以帮助管理员识别潜在的安全问题和不当行为。

6. 定期更新和补丁:
   定期更新K8s集群及其组件，以确保使用最新的安全补丁和功能。K8s的生态系统不断发展，及时更新能够有效防止已知的安全漏洞。

通过以上措施，用户可以有效提升K8s集群的安全性，确保应用程序在安全的环境中运行。

在K8s集群部署完成后，访问应用程序的方式多种多样。根据不同的需求和场景，用户可以选择适合自己的访问方式。同时，确保集群的安全性也是至关重要的，只有在安全的环境中，应用程序才能稳定地运行。通过合理的访问策略和安全措施，用户可以充分发挥K8s的优势，提升开发和运维的效率。

关于 GitLab 的更多内容，可以查看官网文档：
官网地址： https://gitlab.cn 
文档地址： https://docs.gitlab.cn 
论坛地址： https://forum.gitlab.cn