如何在 k8s 中实现应用的负载均衡？

使用 service 做四层负载均衡

此时的数据包流向如下：
客户端请求-->node 节点的 ip:端口--->service 的 ip:端口--->pod 的 ip:端口

案例演示：
创建一个 k8s pod，通过 service 代理
vim pod_test.yaml

 创建一个 service
vim service_test.yaml

 端口管理问题
采用 service 的 NodePort 方式暴露服务面临的问题是，服务一旦多起来，NodePort 在每个节点上开启的端口会及其庞大，而且难以维护。

Ingress 和 Ingress Controller 深度解读
 

为什么要使用 k8s 原生的 Ingress controller 做七层负载均衡？

Ingress 介绍

Ingress 官网定义：Ingress 可以把进入到集群内部的请求转发到集群中的一些服务上，从而可以把服务映射到集群外部。

Ingress 能把集群内 Service 配置成外网能够访问的 URL，流量负载均衡，提供基于域名访问的虚拟主机等。

Ingress 简单的理解就是你原来需要改 Nginx 配置，然后配置各种域名对应哪个 Service，现在把这个动作抽象出来，变成一个 Ingress 对象，你可以用 yaml 创建，每次不要去改 Nginx 了，直接改yaml 然后创建/更新就行了；

那么问题来了：”Nginx 该怎么处理？”

Ingress Controller 这东西就是解决 “Nginx 的处理方式” 的；

Ingress Controller 通过与Kubernetes API 交互，动态的去感知集群中 Ingress 规则变化，然后读取他，按照他自己模板生成一段 Nginx 配置，再写到 Ingress Controller Nginx 里，最后 reload 一下

工作流程如下图：
 

实际上 Ingress 也是 Kubernetes API 的标准资源类型之一，它其实就是一组基于 DNS 名称（host）或 URL 路径把请求转发到指定的 Service 资源的规则

用于将集群外部的请求流量转发到集群内部完成的服务发布。我们需要明白的是，Ingress 资源自身不能进行“流量穿透”，仅仅是一组规则的集合，这些集合规则还需要其他功能的辅助，比如监听某套接字，然后根据这些规则的匹配进行路由转发，这些能够为 Ingress 资源监听套接字并将流量转发的组件就是 Ingress Controller。

注：Ingress 控制器不同于 Deployment 控制器的是，Ingress 控制器不直接运行为 kubecontroller-manager 的一部分，它仅仅是 Kubernetes 集群的一个附件，类似于 CoreDNS，需要在集群上单独部署。

Ingress Controller 介绍

Ingress 和 Ingress Controller 总结


Ingress Controller 可以理解为控制器，它通过不断的跟 Kubernetes API 交互，实时获取后端Service、Pod 的变化，比如新增、删除等，结合 Ingress 定义的规则生成配置，然后动态更新上边的Nginx 或者 trafik 负载均衡器，并刷新使配置生效，来达到服务自动发现的作用。


Ingress 则是定义规则，通过它定义某个域名的请求过来之后转发到集群中指定的 Service。它可以通过 Yaml 文件定义，可以给一个或多个 Service 定义一个或多个 Ingress 规则。

使用 Ingress Controller 代理 k8s 内部应用的流程
（1）部署 Ingress controller，我们 ingress controller 使用的是 nginx
（2）创建 Pod 应用，可以通过控制器创建 pod
（3）创建 Service，用来分组 pod
（4）创建 Ingress http，测试通过 http 访问应用
（5）创建 Ingress https，测试通过 https 访问应用
客户端通过七层调度器访问后端 pod 的方式
使用七层负载均衡调度器 ingress controller 时，当客户端访问 kubernetes 集群内部的应用时，数据包走向如下图流程所示：

安装 Nginx Ingress Controller

需要的 yaml 所在的 github 地址：
https://github.com/kubernetes/ingress-nginx/
default-backend.yaml
nginx-ingress-controller.yaml
nginx-ingress-controller-rbac.yml
需要修改 nodeName:

 需要修改 nodeName:

注意：
default-backend.yaml 和 nginx-ingress-controller.yaml 文件指定了 nodeName：k8s-01，表示 default 和 nginx-ingress-controller 部署在 k8s-01 节点，需要自行修改成自己的主机名，这样才会调度成功，让 default-http-backend 和 nginx-ingress-controller 这两个 pod 在一个节点上。

default-backend.yaml：这是官方要求必须要给的默认后端，提供 404 页面。它还提供了一个http 检测功能，检测 nginx-ingress-controll 健康状态的，通过每隔一定时间访问 nginx-ingresscontroll 的/healthz 页面，如是没有响应就返回 404 之类的错误码。

测试 Ingress HTTP 代理 k8s 内部站点

编写 ingress 规则
编写 ingress 的配置清单
cat ingress-myapp.yaml

rules: 定义后端转发的规则
 - host: tomcat.lucky.com 通过域名进行转发
 http:
 paths:
 - path: / 配置访问路径，如果通过 url 进行转发，需要修改；空默认为访问的路径为"/"
 pathType: Prefix
 backend: 配置后端服务
 service:
 name: tomcat
 port:
 number: 8080 

修改电脑本地的 host 文件，增加如下一行，下面的 ip 是 k8s-01 节点 ip
192.168.2.40 tomcat.lucky.com
浏览器访问 tomcat.lucky.com，出现如下： 

测试 Ingress HTTPS 代理 tomcat
1、构建 TLS 站点
（1）准备证书，在 master1 节点操作
openssl genrsa -out tls.key 2048
openssl req -new -x509 -key tls.key -out tls.crt -subj /C=CN/ST=Beijing/L=Beijing/O=DevOps/CN=tomcat.lucky.com

 （2）生成 secret，在 master1 节点操作
kubectl create secret tls tomcat-ingress-secret --cert=tls.crt --key=tls.key
（3）查看 secret
kubectl get secret

 （4）查看 tomcat-ingress-secret 详细信息
kubectl describe secret tomcat-ingress-secret
 

 
创建 Ingress
Ingress 规则可以参考官方：
https://kubernetes.io/zh/docs/concepts/services-networking/ingress/

kubectl explain ingress.spec.rules.http.paths.backend.service


vim ingress-tomcat-tls.yaml

Ingress 规则可以参考官方：
https://kubernetes.io/zh/docs/concepts/services-networking/ingress/

更新时提示报错