kubernetes（k8s）ingress-traefik部署

外部服务发现之 ingress

Service 使用 NodePort 和 LoadBlancer 类型可以实现把应用暴露给外部用户使用，除此之外，Kubernetes 还为我们提供了一个非常重要的资源对象,可以用来暴露服务给外部用户，那就是 ingress。对于小规模的应用使用 NodePort 或许能够满足需求，但是当应用越来越多的时候，对于 NodePort 的管理就非常麻烦了，这个时候使用 ingress 就非常方便了，可以避免管理大量的 Port。

介绍

Ingress其实就是从 kuberenets 外部访问集群的一个入口，将外部的请求转发到集群内不同的 Service 上，其实就相当于 nginx、haproxy 等负载均衡代理服务器，但是只使用 nginx 这种方式有很大缺陷，每次有新服务加入的时候需要手动更改或者滚动更新前端的 Nginx Pod ，会变得非常繁琐。ingress提供了服务发现的功能，不需要使用其它的第三方服务。
Ingress controller 可以理解为一个监听器，通过不断地与 kube-apiserver 打交道，实时的感知后端 service、pod 的变化，当得到这些变化信息后，Ingress controller 再结合 Ingress 的配置，更新反向代理负载均衡器，达到服务发现的作用。其实这点和服务发现工具 consul consul-template 非常类似。
现在可以使用的 Ingress controller 有很多，比如 traefik、nginx-controller、Kubernetes Ingress Controller for Kong、HAProxy Ingress controller，当然也可以自己实现一个 Ingress Controller，现在普遍用得较多的是 traefik 和 nginx-controller，traefik 的性能较 nginx-controller 差，但是配置使用要简单许多，这里以更简单的 traefik 为例介绍 ingress 的使用。

Traefik

Traefik 是一款开源的反向代理与负载均衡工具。它最大的优点是能够与常见的微服务系统直接整合，可以实现自动化动态配置。目前支持 Docker、DockerSwarm、Mesos/Marathon、 Mesos、Kubernetes、Consul、Etcd、Zookeeper、BoltDB、Rest API 等等后端模型。

traefik部署

要使用 traefik，同样需要部署 traefik 的 Pod。
首先，为安全起见，这里使用 RBAC 安全认证方式：(rbac.yaml)：

---
apiVersion: v1
kind: ServiceAccount
metadata:
  name: traefik-ingress-controller
  namespace: kube-system
---
kind: ClusterRole
apiVersion: rbac.authorization.k8s.io/v1beta1
metadata:
  name: traefik-ingress-controller
rules:
  - apiGroups:
      - ""
    resources:
      - services
      - endpoints
      - secrets
    verbs:
      - get
      - list
      - watch
  - apiGroups:
      - extensions
    resources:
      - ingresses
    verbs:
      - get
      - list
      - watch
---
kind: ClusterRoleBinding
apiVersion: rbac.authorization.k8s.io/v1beta1
metadata:
  name: traefik-ingress-controller
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: traefik-ingress-controller
subjects:
- kind: ServiceAccount
  name: traefik-ingress-controller
  namespace: kube-system

直接在集群中创建即可：

$ kubectl create -f rbac.yaml
serviceaccount "traefik-ingress-controller" created
clusterrole.rbac.authorization.k8s.io "traefik-ingress-controller" created
clusterrolebinding.rbac.authorization.k8s.io "traefik-ingress-controller" created

然后使用 Deployment 来管理 Pod，直接使用官方的 traefik 镜像部署即可（traefik.yaml）

---
kind: Deployment
apiVersion: extensions/v1beta1
metadata:
  name: traefik-ingress-controller
  namespace: kube-system
  labels:
    k8s-app: traefik-ingress-lb
spec:
  replicas: 1
  selector:
    matchLabels:
      k8s-app: traefik-ingress-lb
  template:
    metadata:
      labels:
        k8s-app: traefik-ingress-lb
        name: traefik-ingress-lb
    spec:
      serviceAccountName: traefik-ingress-controller
      terminationGracePeriodSeconds: 60
      containers:
      - image: traefik
        name: traefik-ingress-lb
        ports:
        - name: http
          containerPort: 80
        - name: admin
          containerPort: 8080
        args:
        - --api
        - --kubernetes
        - --logLevel=INFO
---
kind: Service
apiVersion: v1
metadata:
  name: traefik-ingress-service
  namespace: kube-system
spec:
  selector:
    k8s-app: traefik-ingress-lb
  ports:
    - protocol: TCP
      port: 80
      name: web
    - protocol: TCP
      port: 8080
      name: admin
  type: NodePort

直接创建上面的资源对象即可：

$ kubectl create -f traefik.yaml
deployment.extensions "traefik-ingress-controller" created
service "traefik-ingress-service" created

traefik 还提供了一个 web ui 工具，就是上面的 8080 端口对应的服务，为了能够访问到该服务，这里将服务设置成的 NodePort：

$ kubectl get pods -n kube-system -l k8s-app=traefik-ingress-lb -o wide
NAME                                          READY   STATUS    RESTARTS   AGE   IP             NODE         NOMINATED NODE   READINESS GATES
traefik-ingress-controller-7cc5c78dfd-scxf6   1/1     Running   0          87s   10.254.43.15   10.8.13.85   <none>           <none>

$ kubectl get svc -n kube-system
NAME                      TYPE        CLUSTER-IP       EXTERNAL-IP   PORT(S)                       AGE
···
traefik-ingress-service   NodePort    10.254.118.207   <none>        80:35898/TCP,8080:30630/TCP   72s
···

现在在浏览器中输入 node_ip:30630 就可以访问到 traefik 的 dashboard 了

部署ingress对象

现在是通过 NodePort 来访问 traefik 的 Dashboard 的，那怎样通过 ingress 来访问呢？ 首先，需要创建一个 ingress 对象：(ingress.yaml)

apiVersion: extensions/v1beta1
kind: Ingress
metadata:
  name: traefik-web-ui
  namespace: kube-system
  annotations:
    kubernetes.io/ingress.class: traefik
spec:
  rules:
  - host: traefik.qienda.com
    http:
      paths:
      - backend:
          serviceName: traefik-ingress-service
          servicePort: 8080

然后为 traefik dashboard 创建对应的 ingress 对象：

$ kubectl create -f ingress.yaml
ingress.extensions "traefik-web-ui" created

要注意上面的 ingress 对象的规则，特别是 rules 区域，我们这里是要为 traefik 的 dashboard 建立一个 ingress 对象，所以这里的 serviceName 对应的是上面我们创建的 traefik-ingress-service，端口也要注意对应 8080 端口，为了避免端口更改，这里的 servicePort 的值也可以替换成上面定义的 port 的名字：admin
创建完成后，我们应该怎么来测试呢？

• 第一步，在自己电脑本地的hosts里面添加上 traefik.qienda.com 与node节点 IP 的映射关系
• 第二步，在浏览器中访问：http://traefik.qienda.com 我们会发现并没有得到期望的 dashboard 界面，这是因为我们上面部署 traefik 的时候使用的是 NodePort 这种 Service 对象，所以只能通过上面的 35898 端口访问到目标对象：http://traefik.qienda.com:35898
  image.png
  加上端口后发现可以访问到 dashboard 了，而且在 dashboard 当中多了一条记录，正是上面创建的 ingress 对象的数据，还可以切换到 HEALTH 界面中，可以查看当前 traefik 代理的服务的整体的健康状态
  image.png
• 第三步，注意上图，访问是通过35898端口的方式访问，现在通过映射主机的方式，使用域名默认的80端口访问，直接在 Pod 中指定一个 hostPort，更改上面的 traefik.yaml 文件中的容器端口：

containers:
- image: traefik
name: traefik-ingress-lb
ports:
- name: http
 containerPort: 80
 hostPort: 80
- name: admin
 containerPort: 8080

添加以后hostPort: 80，然后更新应用：

$ kubectl apply -f traefik.yaml

更新完成后，这个时候在浏览器中直接使用域名方法测试下：

image.png

如果你有多个边缘节点的话，可以在每个边缘节点上部署一个 ingress-controller 服务，然后在边缘节点前面挂一个负载均衡器，比如 nginx，将所有的边缘节点均作为这个负载均衡器的后端，这样就可以实现 ingress-controller 的高可用和负载均衡了。