Один входной вход и несколько шлюзов TLS - PullRequest
Новая
       14

Один входной вход и несколько шлюзов TLS

0 голосов
/ 09 октября 2018

Краткое описание проблемы :

  • Если я попытаюсь подключить несколько шлюзов TLS (используя один и тот же сертификат) к одному входному шлюзу, будет работать только один TLS.(Последнее примененное)
  • Присоединение нескольких шлюзов не-TLS к одному входному шлюзу работает нормально.

Сообщения об ошибках :

Домен 1(нормально): 

✗ curl -I https://integration.domain.com
HTTP/2 200 
server: envoy
[...]

Домен 2 (плохо): 

✗ curl -vI https://staging.domain.com    
* Rebuilt URL to: https://staging.domain.com/
*   Trying 35.205.120.133...
* TCP_NODELAY set
* Connected to staging.domain.com (35.x.x.x) port 443 (#0)
* ALPN, offering h2
* ALPN, offering http/1.1
* Cipher selection: ALL:!EXPORT:!EXPORT40:!EXPORT56:!aNULL:!LOW:!RC4:@STRENGTH
* successfully set certificate verify locations:
*   CAfile: /etc/ssl/certs/ca-certificates.crt
  CApath: /etc/ssl/certs
* TLSv1.2 (OUT), TLS header, Certificate Status (22):
* TLSv1.2 (OUT), TLS handshake, Client hello (1):
* Unknown SSL protocol error in connection to staging.domain.com:443 
* Curl_http_done: called premature == 1
* stopped the pause stream!
* Closing connection 0
curl: (35) Unknown SSL protocol error in connection to staging.domain.com:443

Факты :

У меня есть сертификат TLS с подстановочным знаком (позволяетскажем '* .domain.com') Я поставил в секрете: 

kubectl create -n istio-system secret tls istio-ingressgateway-certs --key tls.key --cert tls.crt

У меня по умолчанию istio-ingressgateway подключен к статическому IP: 

apiVersion: v1
kind: Service
metadata:
  name: istio-ingressgateway
  namespace: istio-system
  annotations:
  labels:
    chart: gateways-1.0.0
    release: istio
    heritage: Tiller
    app: istio-ingressgateway
    istio: ingressgateway
spec:
  loadBalancerIP: "35.x.x.x"
  type: LoadBalancer
  selector:
    app: istio-ingressgateway
    istio: ingressgateway
[...]

ТогдаУ меня есть два шлюза в разных пространствах имен для двух доменов, включенных в подстановочный знак TLS (staging.domain.com ,gration.domain.com):

staging: 

apiVersion: networking.istio.io/v1alpha3
kind: Gateway
metadata:
  name: domain-web-gateway
  namespace: staging
spec:
  selector:
    istio: ingressgateway # use Istio default gateway implementation
  servers:
  - port:
      number: 443
      name: https
      protocol: HTTPS
    tls:
      mode: SIMPLE
      serverCertificate: /etc/istio/ingressgateway-certs/tls.crt
      privateKey: /etc/istio/ingressgateway-certs/tls.key
    hosts:
    - "staging.domain.com"
  - port:
      number: 80
      name: http
      protocol: HTTP
    hosts:
    - "staging.domain.com"

интеграция: 

apiVersion: networking.istio.io/v1alpha3
kind: Gateway
metadata:
  name: domain-web-gateway
  namespace: integration
spec:
  selector:
    istio: ingressgateway # use Istio default gateway implementation
  servers:
  - port:
      number: 443
      name: https
      protocol: HTTPS
    tls:
      mode: SIMPLE
      serverCertificate: /etc/istio/ingressgateway-certs/tls.crt
      privateKey: /etc/istio/ingressgateway-certs/tls.key
    hosts:
    - "integration.domain.com"
  - port:
      number: 80
      name: http
      protocol: HTTP
    hosts:
    - "integration.domain.com"

1 Ответ

0 голосов
/ 09 октября 2018

Проблема в том, что вы используете одно и то же имя (https) для порта 443 в двух шлюзах, управляемых одной рабочей нагрузкой (селектор).Им нужно иметь уникальные имена.Это ограничение задокументировано здесь .

Вы можете исправить это, просто изменив имя вашего второго шлюза, например: 

apiVersion: networking.istio.io/v1alpha3
kind: Gateway
metadata:
  name: domain-web-gateway
  namespace: integration
spec:
  selector:
    istio: ingressgateway # use Istio default gateway implementation
  servers:
  - port:
      number: 443
      name: https-integration
      protocol: HTTPS
    tls:
      mode: SIMPLE
      serverCertificate: /etc/istio/ingressgateway-certs/tls.crt
      privateKey: /etc/istio/ingressgateway-certs/tls.key
    hosts:
    - "integration.domain.com"
  - port:
      number: 80
      name: http
      protocol: HTTP
    hosts:
    - "integration.domain.com"
...