Кубернец: Вы говорите простым HTTP на порт сервера с поддержкой SSL - PullRequest
Новая
       8

Кубернец: Вы говорите простым HTTP на порт сервера с поддержкой SSL

0 голосов
/ 12 марта 2020

Файл моего шлюза имеет вид 

apiVersion: networking.istio.io/v1alpha3
kind: Gateway
metadata:
  name: my-gateway-secure
  namespace: myapp
spec:
  selector:
    istio: ingressgateway # use istio default controller
  servers:
  - port:
      number: 443
      name: https
      protocol: HTTPS
    tls:
      mode: SIMPLE
      serverCertificate: /etc/istio/ingressgateway-certs/tls.crt
      privateKey: /etc/istio/ingressgateway-certs/tls.key
      #caCertificates: /etc/istio/ingressgateway-ca-certs/kbundle.crt
    hosts:
    - "*"

apiVersion: networking.istio.io/v1alpha3
kind: VirtualService
metadata:
  name: my-gateway-service-secure
  namespace:myapp
spec:
  hosts:
  - "sub.domaincom"
  gateways:
  - my-gateway-secure
  http:
  - route:
    - destination:
        host: my-mono
        port:
          number: 443
          protocol: TCP

, а мой служебный файл - 

apiVersion: v1
kind: Service
metadata:
  name: my-mono
  namespace: myapp
  labels:
    tier: backend
spec:
  selector:
    app: my-mono
    tier: backend
  ports:
    - port: 443
      name: https
      protocol: TCP

Файл развертывания - 

apiVersion: apps/v1
kind: Deployment
metadata:
  name: my-mono
  namespace: myapp
spec:
  replicas: 1
  selector:
    matchLabels:
      app: my-mono
  template:
    metadata:
      labels:
        app: my-mono
    spec:
      containers:
      - name: my-mono
        image: myapacheimage
        imagePullPolicy: Never   
        ports:  
        - containerPort: 443

, когда я обращаюсь к своему сервису с использованием шлюз говорит, что 

Bad Request
Your browser sent a request that this server could not understand.
Reason: You're speaking plain HTTP to an SSL-enabled server port.
Instead use the HTTPS scheme to access this URL, please.
Apache/2.4.38 (Debian) Server at 10.0.159.77 Port 443

я могу подтвердить, что apache прослушивает только на 443 и правильно настроен

1 Ответ

0 голосов
/ 12 марта 2020

В вашей конфигурации используется оконечное устройство TLS на шлюзе istio. Таким образом, HTTPS traffi c, входящий в исходный вход, дешифруется до простого HTTP traffi c до достижения конечной точки обслуживания.

Чтобы исправить это, вам необходимо настроить HTTPS вход доступ к услуге HTTPS, т. е. настроить входной шлюз для выполнения сквозной передачи SNI вместо TLS завершения входящих запросов.

Вы можете найти пример Ingress Gateway без TLS Termination в руководстве по документации istio здесь .

Ваши Gateway и VirtualService должны выглядеть примерно так: 

apiVersion: networking.istio.io/v1alpha3
kind: Gateway
metadata:
  name: my-gateway-secure
  namespace: myapp
spec:
  selector:
    istio: ingressgateway # use istio default controller
  servers:
  - port:
      number: 443
      name: https
      protocol: HTTPS
    tls:
      mode: PASSTHROUGH
    hosts:
    - "*"

apiVersion: networking.istio.io/v1alpha3
kind: VirtualService
metadata:
  name: my-gateway-service-secure
  namespace:myapp
spec:
  hosts:
  - "sub.domaincom"
  gateways:
  - my-gateway-secure
  tls:
  - match:
    - port: 443
      sni_hosts:
      - "sub.domaincom"
    route:
    - destination:
        host: my-mono
        port:
          number: 443

Надеюсь, это поможет.

...