#介绍：
在k8s中，pod是应用载体，我们可以通过pod来访问应用程序，但是pod的ip地址是不固定的，导致我们不方便直接通过pod的ip对服务进行访问。
为了解决这个问题，k8s提供了service资源，service会对提供同一个服务的多个pod进行聚合，提供一个统一的入口地址，通过访问service的入口地址就能访问到后面的pod服务。
service只是一个概念，真正起作用的是kube-proxy服务进程，每个Node节点上都运行kube-proxy服务进程。当创建service时会通过api-server向etc写入创建service的信息，而kube-proxy会基于监听的机制发现这种service边动，然后它会将最新的service信息转换成对应的访问规则。
#该命令可以查看当前节点的所有ipvs的访问规则ipvsadm -Ln
kube-proxy的三种工作模式
userspace模式
userspace模式下，kube-proxy会为每一个Service创建一个监听端口，发向Cluster IP的请求会被Iptables规则重定向到kube-proxy监听的端口上，kube-proxy根据LB算法选择一个提供服务的pod和其建立连接，以将请求转发到pod上。该模式下，kube-proxy充当了一个四层负责均衡器的角色。由于kube-proxy运行在userspace中，在继续转发处理时会增加内核和用户空间之间的数据拷贝，虽然比较稳定，但是效率比较低。
iptables模式
iptables模式下，kube-proxy为service后端的每个pod创建iptables规则，直接将发向ClusterIP的请求重定向到一个podIP，该模式下kube-proxy不承担四成负责均衡器的角色，只负责创建iptables规则，该模式的优点在于比userspace模式效率高，但不能提供灵活的lb策略，当后端pod不可用时也无法进行重试。
ipvs模式
ipvs类似iptables，kube-proxy监控pod的变化并创建对应的ipvs规则，ipvs比iptables转发效率更高，除此之外支持更多的LB算法。
#此模式必须安装ipvs模块，否则会降级为iptables#开启ipvskubectl edit cm kube-proxy -n kube-system#修改model为ipvs#重启kube-proxykubectl delete pod [kube-proxy] -n kube-system#查看ipvs规则ipvsad -LN
Service类型
Service的资源清单文件
kind: Service # 资源类型
apiVersion: v1 # 资源版本
metadata: # 元数据
name: service # 资源名称
namespace: dev # 命名空间
spec: # 描述
selector: # 标签选择器，用于确定当前service代理哪些pod
app: nginx
type: # Service类型，指定service的访问方式
clusterIP: # 虚拟服务的ip地址
sessionAffinity: # session亲和性，支持ClientIP、None两个选项
ports: # 端口信息
- protocol: TCP
port: 3017 # service端口
targetPort: 5003 # pod端口
nodePort: 31122 # 主机端口
- ClusterIP：默认值，它是kubernetes系统自动分配的虚拟ip，只可以在集群内部访问
- NodePort：主机端口，service向Node指定暴露端口给外部，外部可通过该端口访问service。
- LoadBalancer：负载算法。
- ExternalName：把集群外服服务引入集群内部，直接使用。
Service使用
环境准备：
在使用service前，先通过deployment创建3个pod，注意要为pod设置标签
创建deployment.yaml如下
```yaml [root@k8s-master demo]# kubectl create -f deployment.yamlapiVersion: apps/v1 kind: Deployment metadata: name: pc-deployment namespace: dev spec: replicas: 3 selector: matchLabels: app: nginx-pod template: metadata: labels: app: nginx-pod spec: containers: - name: nginx image: nginx:1.21.5 ports: - containerPort: 80
[root@k8s-master demo]# kubectl get po -n dev -o wide —show-labels|grep pc pc-deployment-648f86dcff-g9mxt 1/1 Running 10.244.2.12 k8s-node2 app=nginx-pod pc-deployment-648f86dcff-h4mwj 1/1 Running 10.244.2.13 k8s-node2 app=nginx-pod pc-deployment-648f86dcff-pmsch 1/1 Running 10.244.1.12 k8s-node1 app=nginx-pod
为了方便测试，可以在修改nginx的index.html页面
kubectl exec -it [podname] -n dev bash
echo “[ip]” > /usr/share/nginx/html/index.html
<a name="Sq4tz"></a>
## 创建clusterip类型service
```yaml
apiVersion: v1
kind: Service
metadata:
name: service-clusterip
namespace: dev
spec:
selector:
app: nginx-pod
clusterIP: 10.97.97.97 # service的ip地址，如果不写，默认会生成一个
type: ClusterIP
ports:
- port: 80 # Service端口
targetPort: 80 # pod端口
endpoints
endpoints是k8s的一个资源对象，存储在etcd中，用来记录一个service对应的所有pod的访问地址，它根据service配置文件中的selector描述产生。
一个Service由一组Pod组成，这些Pod通过endpoints暴露出来，Endpoints是实现实际服务的端点集合，换句话说service与pod之间的访问联系由endpoints实现的。
负载分发策略
对service的访问会被分发到pod上去，目前k8s提供两套分发策略。
- 如果不定义，默认使用kube-proxyd的策略，比如轮询或者随机。
- 基于客户端地址的会话保持模式，即来自同一个客户端发起的所有请求都会转发到固定的一个pod上，此模式可以在spec中添加sessionAffinity:ClientIP选项。
```yaml
查看映射规则 【persistent 代表持久】
[root@k8s-master demo]# ipvsadm -Ln IP Virtual Server version 1.2.1 (size=4096) Prot LocalAddress:Port Scheduler Flags -> RemoteAddress:Port Forward Weight ActiveConn InActConn
TCP 10.103.124.98:80 rr persistent 10800 -> 10.244.1.2:80 Masq 1 0 0
-> 10.244.1.3:80 Masq 1 0 0
-> 10.244.2.2:80 Masq 1 0 0
循环请求测试
[root@k8s-master demo]# while true;do curl 10.103.124.98;done; 10.244.2.2 10.244.2.2 10.244.2.2 10.244.2.2 10.244.2.2 10.244.2.2 10.244.2.2 10.244.2.2 10.244.2.2
删除service
kubectl delete -f service-clusterip.yaml
<a name="aB4yO"></a>
## headLiness类型的service
在某些情况下。不想要service提供负载均衡策略，而希望由自己来进行控制，那么就可以使用headLiness Service，这类service不会提供ClusterIP，如果想要访问service，只能通过service域名访问。<br />创建service-headLiness.yaml
```yaml
apiVersion: v1
kind: Service
metadata:
name: service-headliness
namespace: dev
spec:
selector:
app: nginx-pod
clusterIP: None # 将clusterIP设置为None，即可创建headliness Service
type: ClusterIP
ports:
- port: 80
targetPort: 80
#创建service
kubectl create -f service-headLiness.yaml
#查看svc可以看到svc的cluster-ip为none
[root@k8s-master demo]# kubectl get svc -n dev
NAME TYPE CLUSTER-IP EXTERNAL-IP PORT(S) AGE
service-headliness ClusterIP None <none> 80/TCP 3m31s
#查看service详情
[root@k8s-master demo]# kubectl describe svc service-headliness -n dev
Name: service-headliness
Namespace: dev
Labels: <none>
Annotations: <none>
Selector: app=nginx-pod
Type: ClusterIP
IP: None
Port: <unset> 80/TCP
TargetPort: 80/TCP
Endpoints: 10.244.1.2:80,10.244.1.3:80,10.244.2.2:80
Session Affinity: None
Events: <none>
# 查看域名的解析情况
[root@k8s-master demo]# kubectl exec -it pc-deployment-648f86dcff-72d2s -n dev bash
root@pc-deployment-648f86dcff-72d2s:/# cat /etc/resolv.conf
nameserver 10.96.0.10
search dev.svc.cluster.local svc.cluster.local cluster.local localdomain
options ndots:5
[root@k8s-master demo]# dig @10.96.0.10 service-headLiness.dev.svc.cluster.local
;; ANSWER SECTION:
service-headLiness.dev.svc.cluster.local. 30 IN A 10.244.2.2
service-headLiness.dev.svc.cluster.local. 30 IN A 10.244.1.2
service-headLiness.dev.svc.cluster.local. 30 IN A 10.244.1.3
NodePort类型的service
在之前的案例中，service的ip地址只能通过集群内部才可以进行访问，如果将service保留给外部使用就需要NodePort类型service，NodePort的原理就是将service的端口映射到node节点的端口上，然后就可以通过NodeIp:NodePort来进行访问
创建service-nodeport.yaml
apiVersion: v1
kind: Service
metadata:
name: service-nodeport
namespace: dev
spec:
selector:
app: nginx-pod
type: NodePort # service类型
ports:
- port: 80
nodePort: 30002 # 指定绑定的node的端口(默认的取值范围是：30000-32767), 如果不指定，会默认分配
targetPort: 80
# 创建service
kubectl create -f service-nodeport.yaml
#查看servie
[root@k8s-master demo]# kubectl get svc -n dev
NAME TYPE CLUSTER-IP EXTERNAL-IP PORT(S) AGE
service-nodeport NodePort 10.108.240.186 <none> 80:30002/TCP 12s
#接下来就可以通过集群中任一节点IP加上30002端口进行访问。
Ingress介绍
在service对集群暴露服务的两种主要方式为NodePort和LoadBalancer两种方式，它们都存在一定的缺点。
- NodePort方式的缺点是会占用很多机器端口，那么当集群服务变多时，这个缺点就愈发明显。
- LB方式需要为每一个service提供一个LB，浪费且麻烦并且需要k8s之外的设备支持。
基于这种现状，k8s提供了ingress资源对象，ingress只需要一个NodePort或者一个LB就可以满足暴露多个service的需求。
实际上，ingress是一个7层的负载均衡器，是kubernetes对反向代理的一个抽象，它的工作类似一个nignx。可以理解为在ingress中建立诸多映射规则，Ingress通过监听这些配置规则并转换成Nginx的方向代理配置，然后对外提供服务。
这里有两个核心概念：
- ingress：k8s中的一个资源对象，作用的定义请求如何转发到service的规则。
- ingress controller：具体实现方向代理和负载均衡的程序，对ingress定义的规则进行解析，根据配置的规则来实现请求转发，实现方式有很多种，比如nginx、Contour、Haproxy。
ingress（nginx为例）工作原理如下：
- 用户编写Ingress规则，说明那个域名对应k8s集群中的那个Service。
- Ingress控制器动态感知Ingress服务规则的变化，然后生成一段对应的Nginx方向代理配置。
- Ingress控制器会将生成的nginx配置写入到一个运行着的Nginx服务中，并动态更新。
- 到此为止，真正工作的是nginx，内部配置了用户定义的请求转发规则。
Ingress使用
环境准备，搭建Ingress环境
部署ingress-controller3.0
#提前下载镜像，由于墙的问题我们下载国内镜像然后打tag即可
docker pull registry.cn-beijing.aliyuncs.com/google_registry/nginx-ingress-controller:0.30.0
docker tag 89ccad40ce8e quay.io/kubernetes-ingress-controller/nginx-ingress-controller:0.30.0
docker rmi registry.cn-beijing.aliyuncs.com/google_registry/nginx-ingress-controller:0.30.0
#拉取yaml文件，需要翻墙，可以下载到windows在传到linux中
wget https://raw.githubusercontent.com/kubernetes/ingress-nginx/nginx-0.30.0/deploy/static/mandatory.yaml
wget https://raw.githubusercontent.com/kubernetes/ingress-nginx/nginx-0.30.0/deploy/static/provider/baremetal/service-nodeport.yaml
#修改mandatory.yaml文件
#修改191行将Deployment修改为DeamonSet
#注释掉199行副本数
#247行ports下的http下添加hostPort: 80，在https下添加hostPort: 443
#下方有修改后的文件连接
mandatory.yamlservice-nodeport.yaml
#查看pod，可以看到除master节点外均部署了ingress的pod
[root@k8s-master ~/demo/ingress-controller]# kubectl get pod -n ingress-nginx -o wide
NAME READY STATUS RESTARTS IP NODE
nginx-ingress-controller-2tpl4 1/1 Running 0 10.244.1.11 k8s-node1
nginx-ingress-controller-9h2mt 1/1 Running 0 10.244.2.13 k8s-node2
#查看service，可以看到端口被映射到31773和30147
[root@k8s-master ~/demo/ingress-controller]# kubectl get service -n ingress-nginx
NAME TYPE CLUSTER-IP PORT(S) AGE
ingress-nginx NodePort 10.98.175.153 80:31773/TCP,443:30147/TCP 109m
创建demo.yaml用于测试，其中创建了nginx和tomcat的deployment并创建了对应的service
apiVersion: apps/v1
kind: Deployment
metadata:
name: nginx-deployment
namespace: dev
spec:
replicas: 3
selector:
matchLabels:
app: nginx-pod
template:
metadata:
labels:
app: nginx-pod
spec:
containers:
- name: nginx
image: nginx:1.17.1
ports:
- containerPort: 80
---
apiVersion: apps/v1
kind: Deployment
metadata:
name: tomcat-deployment
namespace: dev
spec:
replicas: 3
selector:
matchLabels:
app: tomcat-pod
template:
metadata:
labels:
app: tomcat-pod
spec:
containers:
- name: tomcat
image: tomcat:8.5-jre10-slim
ports:
- containerPort: 8080
---
apiVersion: v1
kind: Service
metadata:
name: nginx-service
namespace: dev
spec:
selector:
app: nginx-pod
clusterIP: None
type: ClusterIP
ports:
- port: 80
targetPort: 80
---
apiVersion: v1
kind: Service
metadata:
name: tomcat-service
namespace: dev
spec:
selector:
app: tomcat-pod
clusterIP: None
type: ClusterIP
ports:
- port: 8080
targetPort: 8080
创建
kubectl create -f demo.yaml
http代理
创建ingress-http.yaml
apiVersion: extensions/v1beta1
kind: Ingress
metadata:
name: ingress-http
namespace: dev
spec:
rules:
- host: nginx.pc.com
http:
paths:
- path: /
backend:
serviceName: nginx-service
servicePort: 80
- host: tomcat.pc.com
http:
paths:
- path: /
backend:
serviceName: tomcat-service
servicePort: 8080
命令执行
kubectl create -f ingress-http.yaml
#查看ingress
[root@k8s-master ~/demo/ingress-controller]# kubectl get ingress -n dev
NAME HOSTS ADDRESS PORTS AGE
ingress-http nginx.ingress.com,tomcat.ingress.com 10.98.175.153 80 15m
#查看ingress详情
[root@k8s-master ~/demo/ingress-controller]# kubectl describe ing ingress-http -n dev
Name: ingress-http
Namespace: dev
Address: 10.98.175.153
Default backend: default-http-backend:80 (<none>)
Rules:
Host Path Backends
---- ---- --------
nginx.ingress.com
/ nginx-service:80 (10.244.1.2:80,10.244.1.3:80,10.244.1.6:80 + 3 more...)
tomcat.ingress.com
/ tomcat-service:8080 (10.244.1.5:8080,10.244.2.7:8080,10.244.2.8:8080)
Annotations:
Events:
Type Reason Age From Message
---- ------ ---- ---- -------
Normal CREATE 29m nginx-ingress-controller Ingress dev/ingress-http
Normal CREATE 29m nginx-ingress-controller Ingress dev/ingress-http
Normal UPDATE 28m nginx-ingress-controller Ingress dev/ingress-http
Normal UPDATE 28m nginx-ingress-controller Ingress dev/ingress-http
#接下来在自己电脑的hotst下配置域名及访问ip，ip可以配置为除主节点外的其他节点ip
通过域名即可直接访问
https代理
创建证书
# 生成证书
openssl req -x509 -sha256 -nodes -days 365 -newkey rsa:2048 -keyout tls.key -out tls.crt -subj "/C=CN/ST=BJ/L=BJ/O=nginx/CN=itheima.com"
# 创建密钥
kubectl create secret tls tls-secret --key tls.key --cert tls.crt
创建ingress-https.yaml
apiVersion: extensions/v1beta1
kind: Ingress
metadata:
name: ingress-https
namespace: dev
spec:
tls:
- hosts:
- nginx.pc.com
- tomcat.pc.com
secretName: tls-secret # 指定秘钥
rules:
- host: nginx.pc.com
http:
paths:
- path: /
backend:
serviceName: nginx-service
servicePort: 80
- host: tomcat.pc.com
http:
paths:
- path: /
backend:
serviceName: tomcat-service
servicePort: 8080
创建后和http使用一致
若有收获，就点个赞吧
0 人点赞
