主页 / user-280971

Jo Colina's questions

Martin Hope
Jo Colina
Asked: 2024-03-10 22:33:39 +0800 CST
  • 7

为了更多地了解 K8S，我开始运行单个服务器/节点 K3S 集群作为家庭实验室。但我相信我对网络模型的理解已经陷入僵局，也许是针对 K3S 的。

到目前为止一切顺利，除了我想将 TLS 证书应用于我设置的一些服务+入口。

在其中一个中，我将 TLS 证书配置为机密并将其应用到与该服务关联的 Ingress，但是我总是得到TRAEFIK DEFAULT CERT，您可以在此处查看。

据我了解，K3S 附带了预先打包的 Traefik 和 ServiceLB，以便不依赖云服务的外部负载均衡器（AWS 等）。我的第一个猜测是 Traefik 会“发现”我的 Ingress 中设置的路由并代理 TLS 流量，从而使用我设置的证书。显然情况并非如此，所以我想我需要为 Traefik 实例本身设置一个 TLS 证书。

我的问题是

  • 如何在 K3S 中设置此证书？如果我计划让多个项目/域访问此集群，我是否需要通配符证书？（我更喜欢管理每个项目的证书）
  • ServiceLB和Traefik在K3S网络模型中的作用是什么？如果 Traefik 收到 80 和 443 流量，是否只是将流量转发到 ServiceLB，然后由 ServiceLB 将其转发到 Ingress 资源？

如果需要，这是我的入口/服务配置


resource kubernetes_service_v1 snitch_service {
  metadata {
    name = "snitch"
    namespace = module.namespace.name
  }


  spec {
    selector = {
      app = "snitch"
    }

    type = "LoadBalancer"

    port {
      name = "main"
      port = 3010
      target_port = 3000
      node_port = 30003
    }
  }
}



resource kubernetes_secret_v1 tls_secret {
  metadata {
    name = "snitch-tls-cert"
    namespace = "my-namespace"
  }

  type = "kubernetes.io/tls"

  data = {
    "tls.crt" = base64encode(my_certificate)
    "tls.key" = base64encode(my_certificate_private_key)
  }
}


resource kubernetes_ingress_v1 snitch_ingress {
  metadata {
    name = "snitch"
    namespace = "my-namespace"

    annotations = {
      "ingress.kubernetes.io/ssl-redirect" = "false"
    }
  }

  spec {
    tls {
      hosts = [local.subdomain]
      secret_name = "snitch-tls-cert"
    }

    rule {
      host = local.subdomain

      http {
        path {
          path = "/"
          path_type = "Prefix"

          backend {
            service {
              name = "snitch"
              port {
                number = 3010
              }
            }
          }
        }
      }
    }
  }
}

谢谢你！

load-balancing