Traefik ingress

Traefik 是一款开源的反向代理与负载均衡工具，它监听后端的变化并自动更新服务配置。Traefik 最大的优点是能够与常见的微服务系统直接整合，可以实现自动化动态配置。目前支持 Docker、Swarm,、Mesos/Marathon、Mesos、Kubernetes、Consul、Etcd、Zookeeper、BoltDB 和 Rest API 等后端模型。

Traefik Ingress - 图1

主要功能包括

  • Golang编写，部署容易
  • 快（nginx的85%)
  • 支持众多的后端（Docker, Swarm, Kubernetes, Marathon, Mesos, Consul, Etcd等）
  • 内置Web UI、Metrics和Let’s Encrypt支持，管理方便
  • 自动动态配置
  • 集群模式高可用
  • 支持 Proxy Protocol

Ingress简介

简单的说，ingress就是从kubernetes集群外访问集群的入口，将用户的URL请求转发到不同的service上。Ingress相当于nginx、apache等负载均衡反向代理服务器，其中还包括规则定义，即URL的路由信息，路由信息的刷新由 Ingress controller 来提供。

Ingress Controller 实质上可以理解为是个监视器，Ingress Controller 通过不断地跟 kubernetes API 打交道，实时的感知后端 service、pod 等变化，比如新增和减少 pod，service 增加与减少等；当得到这些变化信息后，Ingress Controller 再结合下文的 Ingress 生成配置，然后更新反向代理负载均衡器，并刷新其配置，达到服务发现的作用。

部署Traefik

以下配置文件可以在Traefik GitHub仓库中的examples/k8s/traefik-rbac.yaml找到。

创建 ingress-rbac.yaml 用于 service account 认证：

  1. ---
  2. kind: ClusterRole
  3. apiVersion: rbac.authorization.k8s.io/v1beta1
  4. metadata:
  5.   name: traefik-ingress-controller
  6. rules:
  7.   - apiGroups:
  8.       - ""
  9.     resources:
  10.       - services
  11.       - endpoints
  12.       - secrets
  13.     verbs:
  14.       - get
  15.       - list
  16.       - watch
  17.   - apiGroups:
  18.       - extensions
  19.     resources:
  20.       - ingresses
  21.     verbs:
  22.       - get
  23.       - list
  24.       - watch
  25. ---
  26. kind: ClusterRoleBinding
  27. apiVersion: rbac.authorization.k8s.io/v1beta1
  28. metadata:
  29.   name: traefik-ingress-controller
  30. roleRef:
  31.   apiGroup: rbac.authorization.k8s.io
  32.   kind: ClusterRole
  33.   name: traefik-ingress-controller
  34. subjects:
  35. - kind: ServiceAccount
  36.   name: traefik-ingress-controller
  37.   namespace: kube-system

执行下面的命令创建 Traefik 角色绑定

  1. kubectl apply -f https://raw.githubusercontent.com/containous/traefik/master/examples/k8s/traefik-rbac.yaml

创建 Traefik Depeloyment

  1. ---
  2. apiVersion: v1
  3. kind: ServiceAccount
  4. metadata:
  5.   name: traefik-ingress-controller
  6.   namespace: kube-system
  7. ---
  8. kind: Deployment
  9. apiVersion: extensions/v1beta1
  10. metadata:
  11.   name: traefik-ingress-controller
  12.   namespace: kube-system
  13.   labels:
  14.     k8s-app: traefik-ingress-lb
  15. spec:
  16.   replicas: 1
  17.   selector:
  18.     matchLabels:
  19.       k8s-app: traefik-ingress-lb
  20.   template:
  21.     metadata:
  22.       labels:
  23.         k8s-app: traefik-ingress-lb
  24.         name: traefik-ingress-lb
  25.     spec:
  26.       serviceAccountName: traefik-ingress-controller
  27.       terminationGracePeriodSeconds: 60
  28.       containers:
  29.       - image: traefik
  30.         name: traefik-ingress-lb
  31.         args:
  32.         - --web
  33.         - --kubernetes
  34. ---
  35. kind: Service
  36. apiVersion: v1
  37. metadata:
  38.   name: traefik-ingress-service
  39.   namespace: kube-system
  40. spec:
  41.   selector:
  42.     k8s-app: traefik-ingress-lb
  43.   ports:
  44.     - protocol: TCP
  45.       port: 80
  46.       name: web
  47.     - protocol: TCP
  48.       port: 8080
  49.       name: admin
  50.   type: NodePort

执行下面的命令创建 Traefik Deployment：

  1. kubectl apply -f https://raw.githubusercontent.com/containous/traefik/master/examples/k8s/traefik-deployment.yaml

Traefik 也支持以 DaemonSet 的方式部署（注意如果已经创建了 Traefik Deployment，则不需要再创建 DaemonSet）

  1. kubectl apply -f https://raw.githubusercontent.com/containous/traefik/master/examples/k8s/traefik-ds.yaml

稍等一会，traefik-ingress-controller Pod 就会运行起来：

  1. $ kubectl -n kube-system get pod -l k8s-app=traefik-ingress-lb
  2. NAME                                          READY     STATUS    RESTARTS   AGE
  3. traefik-ingress-controller-7fbcc689f5-4bxgg   1/1       Running   0          3m
  5. $ kubectl -n kube-system get svc traefik-ingress-service
  6. NAME                      TYPE       CLUSTER-IP    EXTERNAL-IP   PORT(S)                       AGE
  7. traefik-ingress-service   NodePort   10.0.73.148   <none>        80:32563/TCP,8080:30206/TCP   3m

可以看到 Traefik Ingress 服务监听在 32563 （Ingress 入口） 和 30206 （UI）两个 NodePort上面，可以通过 <master-ip>:<nodePort> 来访问它们。

Helm 部署

除了直接创建 Deployment 方法，还可以使用 Helm 便捷部署 Traefik：

  1. $ helm install stable/traefik --name my-release --namespace kube-system
  3. # Watch the service status
  4. $ kubectl get svc my-release-traefik --namespace kube-system -w
  6. # Once EXTERNAL-IP is no longer <pending>, get external IP
  7. $ kubectl describe service my-release-traefik -n kube-system | grep Ingress | awk '{print $3}'

UI Ingress

最简单的 Ingress 就是创建一个 Traefik UI 的访问入口：

  1. apiVersion: v1
  2. kind: Service
  3. metadata:
  4.   name: traefik-web-ui
  5.   namespace: kube-system
  6. spec:
  7.   selector:
  8.     k8s-app: traefik-ingress-lb
  9.   ports:
  10.   - port: 80
  11.     targetPort: 8080
  12. ---
  13. apiVersion: extensions/v1beta1
  14. kind: Ingress
  15. metadata:
  16.   name: traefik-web-ui
  17.   namespace: kube-system
  18.   annotations:
  19.     kubernetes.io/ingress.class: traefik
  20. spec:
  21.   rules:
  22.   - host: traefik-ui.minikube
  23.     http:
  24.       paths:
  25.       - backend:
  26.           serviceName: traefik-web-ui
  27.           servicePort: 80

配置完成后就可以创建 UI ingress：

  1. kubectl apply -f https://raw.githubusercontent.com/containous/traefik/master/examples/k8s/ui.yaml

前面看到 Ingress Controller 服务监听在 32563 端口，可以通过下面的方式访问

  1. $ curl -H Host:traefik-ui.minikube <master-ip>:32563
  2. <a href="/dashboard/">Found</a>.

通过配置 DNS 解析（CNAME 记录域名到 Ingress Controller 服务的外网IP）、修改 /etc/hosts 添加域名映射（见下述测试部分）或者使用 xip.io （参考 minikube ingress 使用方法）等方法，就可以通过配置的域名直接访问所需服务了。比如上述的 UI 服务可以通过域名 traefik-ui.minikube 来访问（当然也可以通过 NodePort访问 <master-ip:>30206）：

kubernetes-dashboard

上图中，左侧黄色部分部分列出的是所有的rule，右侧绿色部分是所有的backend。

Ingree 示例

下面来看一个更复杂的示例。创建名为traefik-ingress的 ingress，文件名traefik.yaml

  1. apiVersion: extensions/v1beta1
  2. kind: Ingress
  3. metadata:
  4.   name: traefik-ingress
  5. spec:
  6.   rules:
  7.   - host: traefik.nginx.io
  8.     http:
  9.       paths:
  10.       - path: /
  11.         backend:
  12.           serviceName: nginx
  13.           servicePort: 80
  14.   - host: traefik.frontend.io
  15.     http:
  16.       paths:
  17.       - path: /
  18.         backend:
  19.           serviceName: frontend
  20.           servicePort: 80

其中，

  • backend中要配置 default namespace 中启动的 service 名字
  • path就是URL地址后的路径，如traefik.frontend.io/path
  • host 最好使用 service-name.filed1.filed2.domain-name 这种类似主机名称的命名方式，方便区分服务

根据你自己环境中部署的 service 名称和端口自行修改，有新 service 增加时，修改该文件后可以使用kubectl replace -f traefik.yaml来更新。

测试

在集群的任意一个节点上执行。假如现在我要访问nginx的”/“路径。

  1. $ curl -H Host:traefik.nginx.io http://172.20.0.115/
  2. <!DOCTYPE html>
  3. <html>
  4. <head>
  5. <title>Welcome to nginx!</title>
  6. <style>
  7.     body {
  8.         width: 35em;
  9.         margin: 0 auto;
  10.         font-family: Tahoma, Verdana, Arial, sans-serif;
  11.     }
  12. </style>
  13. </head>
  14. <body>
  15. <h1>Welcome to nginx!</h1>
  16. <p>If you see this page, the nginx web server is successfully installed and
  17. working. Further configuration is required.</p>
  19. <p>For online documentation and support please refer to
  20. <a href="http://nginx.org/">nginx.org</a>.<br/>
  21. Commercial support is available at
  22. <a href="http://nginx.com/">nginx.com</a>.</p>
  24. <p><em>Thank you for using nginx.</em></p>
  25. </body>
  26. </html>

如果你需要在kubernetes集群以外访问就需要设置DNS，或者修改本机的hosts文件。

在其中加入：

  1. 172.20.0.115 traefik.nginx.io
  2. 172.20.0.115 traefik.frontend.io

所有访问这些地址的流量都会发送给172.20.0.115这台主机，就是我们启动traefik的主机。

Traefik会解析http请求header里的Host参数将流量转发给Ingress配置里的相应service。

修改hosts后就就可以在kubernetes集群外访问以上两个service，如下图：

traefik-nginx

traefik-guestbook

参考文档