Kubernetes Ingress 模块初探

Ingress是Kubernetes中用于对Service进行公网负载均衡的一个模块，要使用ingress资源，必须有对应的ingress controller来管控ingress。业务需要实现定制化的ingress controller，将ingress资源与公司自研的公网负载均衡服务对应起来，实际上就是使用公司自研的负载均衡服务对Kubernetes运行的Service服务提供公网负载均衡。本文对Kubernetes的ingress模块进行一个初探。

Kubernetes基本概念

Kubernetes以RESTFul的形式开放API, 可操作的REST对象有：

    Pod: Kubernetes最基本的部署调度单元，可以包含一个或多个Contanier
    Service: Pod的路由代理对象，用于Pod之间的服务发现。如果要访问一个Pod,只需要知道Service的地址就可以，从而保证Pod的动态变化对访问端透明    ReplicationController:Pod的复制抽象，用于Pod的扩容缩容。通过ReplicationController, 可以指定一个应用需要多少份复制，Kubernetes将为每份复制创建一个Pod，并且能够自动重建（Pod宕机的情况下）

Pod与Service, ReplicationController通过Lable（键值对，例如：app:my-service）进行关联。Service通过Label Selector来筛选出一组Pods.

Service实例

    kind: Service
    apiVersion: v1
    metadata:
    name: my-service
    spec:
    selector:
        app: MyApp
    ports:
    - protocol: TCP,
      port: 80,
      targetPort: 9376

上述yaml配置将会创建一个名为“my-service”的Service，通过内容为“app=MyApp”的Label映射到Pods的端口9376，Secector将会一直对Pods进行筛选，并将筛选出的Pods放入名为“my-service”的Endpoints中。

Exernal Service

Kubernetes v1.2版本中，发布了关于External Service的新特性，目的在于将用户创建的Service开放到公网IP。Kubernetes提供了三种类型的Services:

    ClusterIP: 为Service分配虚拟地址，但是该地址只能在Kubernetes集群内部中访问,这也是Services的默认类型    NodePort: 在ClusterIP基础上将服务绑定到集群节点的指定端口上，可以通过<NodeIP>:NodePort访问Service    LoadBalancer:在NodePort的基础上使用外部的负载均衡服务，通过该负载均衡服务来访问集群内部的Services,实际上经过了两层转发

Kubernetes提供基于NodePort和LoadBalancer的方式，将service开放到公网IP.另外，如果有公网IP到Kubernetes集群中的一个或多个节点有路由可达，可以通过指定External IPs字段将服务暴露给公网， 例如：

    kind: Service
    apiVersion: v1
    metadata:    name: my-service
    spec:    selector:        app: MyApp
    ports:    - name: http
      protocol: TCP
      port: 80      targetPort: 9376    externalIPs: 
    - 80.11.12.10

通过上述配置，可以通过80.11.12.10:80访问到名为“my-service”的Service.

通过指定Service 类型将服务暴露给公网，NodePort类型的Service只能支持TCP & UDP协议, LoadBalancer类型的Service只支持TCP协议.

Ingress

Ingress的引入正是为了解决Service的短板：只能面向L4. 基于Ingress, 可以方便的创建基于HTTP/HTTPS的七层负载均衡。
Ingress就是一系列的转发规则集合，通过它可以将集群内部的Service暴露给公网。它也是可操作的REST对象，可以通过API方便的创建一个Ingress对象：

     apiVersion: extensions/v1beta1
     kind: Ingress
     metadata:
        name: test-ingress
     spec:
        rules:
        - host: c.163.com
          http:
            paths: 
              - path: /testpath
                backend:
                serviceName: test
                servicePort: 80

上述配置指定了一个名为“test-ingress”的Ingress资源，在spec属性中指定了转发规则（v1.2中仅支持HTTP协议），一个完整的http转发规则包含host,path,与backend后端服务，访问c.163.com/testpath将会受到来自后端服务test:80的响应。

Ingress Controller

使用Ingress资源必须有相应的Ingress controller来控制Ingress的运行。Ingress controller的主要功能包括

    1. 根据Ingress的配置，创建负载均衡服务
    2. 为Ingress分配IP
    3. 监控Ingress的变化

Ingress controller不是Kubernetes源码中的一部分，并不会像EndpointController或者ReplicationControler,在集群创建过程中就会启动. 因此，需要实现自己的Ingress controller，并将其部署为一个Kubernetes Pod。

一个简单的Ingress controller

如果使用nginx做负载均衡，实现一个nginx controller比较简单，该nginx controller的作用就是：

    1. 从api server中获取ingress
    2. 基于nginx配置模板文件，生成nginx.conf
    3. reload nginx

使用Google提供的一个nginx-ingress controller,根据如下配置, 将该controller部署在Kubernetes集群中：

    apiVersion: v1
    kind: ReplicationController
    metadata:
        name: nginx-ingress
        labels:
            app: nginx-ingress
    spec:
        replicas: 1
        selector:
            app: nginx-ingress        template:
            metadata:
            labels:
                app: nginx-ingress
            spec:
            containers:
        - image: gcr.io/google_containers/nginx-ingress:0.1
            imagePullPolicy: Always
            name: nginx
            ports:
            - containerPort: 80
                hostPort: 80

然后创建一个Ingress:

    apiVersion: extensions/v1beta1
    kind: Ingress
    metadata:
        name: test
    spec:
        rules:
        - host: foo.bar.com
            http:
            paths:
            - path: /foo
              backend:
                    serviceName: fooSvc
                    servicePort: 80
        - host: bar.baz.com
            http:
            paths:
            - path: /bar
                backend:
                    serviceName: barSvc
                    servicePort: 80

根据该Ingress的配置，nginx controller生成的nginx.conf为：

        events {
            worker_connections 1024;
        }
        http {
            server {
                listen 80;
                server_name foo.bar.com;

                location /foo {
                     proxy_pass http://fooSvc;
                }
            }
            server {
                listen 80;
                server_name bar.baz.com;

                location /bar {
                    proxy_pass http://barSvc;
                }
            }
        }

基于上述配置，将foo.bar.com或者bar.baz.com解析为nginx-ingress controller所在主机上的公网IP，就可以访问到foo.bar.com/foo.

定制Ingress Controller

上一节中简单的nginx-ingress controller，只是使用了nginx做负载均衡，如果要使用第三方云厂商的负载均衡服务，就必须实现定制化的Ingress controller了。目前，Google开源了基于GSLB服务的Ingress controller:GLBC.

GLBC管控Ingress资源，把每一个Ingress都转换成一个GCE L7(Google Compute Engine 七层负载均衡服务)， 并且把Ingress中的转发rules转换成GCE Url Map，这样可以通过一个负载均衡服务访问多个Kubernetes Service。这和使用Loadbalancer类型的Service来开放服务不同，Loadbalancer类型的Service将为每一个Kubernetes Service分配一个公网IP。

GLBC的使用方式如下：

    1.创建RC（Replication controller,GBLC Ingress controller也属于RC资源）
    2.创建Services, Ingress
    3.等待异步创建GCE L7, 创建完成后GLBC为Ingress分配IP

GLBC还可以提供健康检查，HTTPS服务等，功能还在进一步完善中。如果有兴趣可以参考官方Daemon:https://github.com/kubernetes/contrib/tree/master/ingress/controllers/gce

参考资料

    1.Kubernetes官方文档：http://kubernetes.io/docs/
    2.Kubernetes初探：http://blog.csdn.net/zhangjun2915/article/details/40598151

作者：bellengao
链接：https://www.jianshu.com/p/e66608ab9caa