Почему для SSL-сертификата, управляемого Google, домен DNS должен указывать на IP-адрес stati c, а не на сам балансировщик нагрузки? - PullRequest
Новая
       191

Почему для SSL-сертификата, управляемого Google, домен DNS должен указывать на IP-адрес stati c, а не на сам балансировщик нагрузки?

1 голос
/ 03 мая 2020

Я настраиваю вход для своего кластера GKE, все работает, но я думаю, что здесь чего-то не хватает.
В руководстве Google говорится, что нам нужно зарезервировать внешний IP-адрес c и добавить запись A в нашем домене, чтобы указать на такой IP, затем определить IP и сертификат в правиле входа.
Почему мы не можем просто указать домен на IP балансировщика нагрузки?

Ссылка: https://cloud.google.com/kubernetes-engine/docs/how-to/managed-certs?hl=th

1 Ответ

2 голосов
/ 04 мая 2020

Я думаю, у нас есть некоторые заблуждения. Позвольте мне объяснить немного больше.

Ваш вопрос ничего не показывает, что вы используете nginx-ingress. Нет ничего кроме тега, который это подтверждает. Пожалуйста, обновите ваш вопрос информацией о том, какой контроллер вы на самом деле используете.

Это важно, потому что gke-ingress и nginx-ingress - это 2 разных ресурса. Руководство, на которое вы ссылаетесь, указано от c до gke-ingress. Используемые там аннотации не будут работать с nginx-ingress. Если вы следовали инструкциям шаг за шагом, вы использовали gke-ingress, а не nginx-ingress.

В соответствии с вопросом в заголовке:

Почему для SSL-сертификата, управляемого Google, требуется DNS домена, указывающий на IP-адрес stati c вместо самого балансировщика нагрузки?

IP-адрес stati c является зарезервированным ресурсом и специально создан для того, чтобы не изменять .

Этот IP-адрес будет использоваться с ресурсом Ingress с вашим кластером GKE. Это гарантирует, что ресурс Ingress всегда будет иметь одинаковый IP-адрес. адрес и ваш домен всегда будут указывать на него.

Удаление ресурса Ingress, когда он был создан без статического IP-адреса c, может привести к ситуации, когда воссозданный Ingress будет иметь другой IP-адрес.

Объяснение выше: вы можете указать своим доменным именем IP-адрес, который больше не связан с вашим ресурсом Ingress, поскольку у вашего Ingress есть другой IP-адрес.

GCP работают на 2 типах IP-адресов:

  • Эфемерный
  • Stati c

Пожалуйста, ознакомьтесь с официальным документация по IP-адресам в GCP: Cloud.google.com: Compute: IP-адреса

Дополнительно есть статья , в которой показаны различия между объектами службы типа LoadBalancer и Ingress ресурс.

Пожалуйста, дайте мне знать, если у вас есть какие-либо вопросы по этому поводу.

...