使用 Let's Encrypt 轻松加固 Traefik Ingress Controller

Sun, 05 Nov 2017 06:49:52 +0800

Traefik 是一个现代 HTTP 反向代理和负载均衡服务器，支持众多后端（Docker、Swarm、Kubernetes、Marathon 等等）下的动态配置。

Ingress 是 Kubernetes 对外暴露服务的一种方式，可以通过域名、路径等方式，将外部请求转发给集群的内部服务。

Let’s Encrypt 是一个于数字证书认证机构，通过自动化方式免费提供 SSL/TLS 证书。

好了凑够一百字了应该，现在开始说正经事。

上面三个东西合起来的话，这篇文章的目的就很清楚了，找个免费的法子把 Kubernetes 的服务升级成高大上的 https。

准备工作

Ingress 首先需要一个域名来工作。
使用htdigest -c user.dat traefik guest命令，创建一个名为 guest 的用户，并存储在 user.dat 中，用于后面的密码验证。
为 Traefik 准备一个 PVC，用于存储 ACME 生成的认证文件，这里我们命名为 traefik。
- 加载这一 PVC，并在其中生成空文件acme.json。
- chmod 600 acme.json。

部署 Traefik

RBAC

在启用了 RBAC 的集群上，需要首先为 Traefik 创建相关的角色绑定：

https://github.com/containous/traefik/tree/master/examples/k8s/traefik-rbac.yaml

Configmap

创建配置文件：

# 开放两个 Ingress 端口
defaultEntryPoints = ["http", "https"]
logLevel = "INFO"

# 启用 Kubernetes 支持
[kubernetes]

# 启用 Web Dashboard
[web]
address = ":8080"

[entryPoints]
  [entryPoints.http]
  address = ":80"
    # http 访问自动转向到 https
    [entryPoints.http.redirect]
    entryPoint = "https"
  [entryPoints.https]
  address = ":443"
  [entryPoints.https.auth.digest]
    # 这一内容来自前面生成的 user.dat，所有服务都启用这一验证
    users = ["supervisor:traefik:a47ec349f54a92ba4b00a740950384f7"]
    [entryPoints.https.tls]

# Let's Encrypt 配置
[acme]

email = "acme@fleeto.us"
# 刚才我们 PVC 中的文件
storage = "/var/data/acme.json"
entryPoint = "https"

# 生成这些域名的证书
[[acme.domains]]
main = "fake-domain.com"
sans = ["traefik.fake-domain.com", "kibana.fake-domain.com", "prometheus.fake-domain.com", "grafana.fake-domain.com", "traefik.fake-domain.com",  "other.fake-domain.com"]

使用配置文件创建一个 ConfigMap

kubectl create cm traefik --from-file config.toml --dry-run -o yaml > config.map.yaml
kubectl apply -f config.map.yaml

Workload

官方网站提供了 Deployment 和 DaemonSet 两种形式的部署方案，这里我们使用 Deployment，因为涉及到 ACME 的存储，以及一些认证配置，所以这里我们需要对其进行一些修改：

源文件：https://github.com/containous/traefik/tree/master/examples/k8s/traefik-deployment.yaml

# 参数修改为
args:
  - -c
  - /etc/traefik/config.toml

# 加载 PVC 和配置文件
volumeMounts:
- name: config
  mountPath: /etc/traefik
- name: data
  mountPath: /var/data
volumes:
- name: config
configMap:
  name: traefik
- name: data
persistentVolumeClaim:
  claimName: traefik

Service

前面提到 Traefik 自带一个 Dashboard，我们不希望他随意暴露，因此这里拆分为两个服务：

# Ingress
kind: Service
apiVersion: v1
metadata:
  name: traefik-ingress-service
  namespace: kube-system
spec:
  selector:
    k8s-app: traefik-ingress-lb
  ports:
    - protocol: TCP
      port: 80
      name: http
    - protocol: TCP
      port: 443
      name: https
  type: LoadBalancer
---
# Dashboard
kind: Service
apiVersion: v1
metadata:
  name: traefik-admin-service
  namespace: kube-system
spec:
  selector:
    k8s-app: traefik-ingress-lb
  ports:
    - protocol: TCP
      port: 8080
  type: ClusterIP

使用 Kubectl 运行之后，等待 Pod 启动。

创建 Ingress Resource

我们为traefik-admin-service启用域名为traefik.fake-domain.com的 Ingress：

apiVersion: extensions/v1beta1
kind: Ingress
metadata:
  name: traefik
spec:
  tls:
  - hosts:
    - traefik.fake-domain.com
  rules:
  - host: traefik.fake-domain.com
    http:
      paths:
      - path: /
        backend:
          serviceName: traefik-admin-service
          servicePort: 8080

Ingress 资源创建之后，我们可以使用http://traefik.fake-domain.com访问这一服务，会看到根据我们的定义：

发生了重定向，并成功转向 https 端口；
https 证书是 Let’s Encrypt 发放的权威证书；
弹出了认证窗口，输入之前我们定义的用户名密码，就能够看到 Traefik 的 Dashboard 页面了。

实际上还可以使用 ETCD 等 KV 数据库来作为 Traefik 的存储后端，就省掉了一个卷的麻烦了。

let's encrypt | 伪架构师