默认情况下，RKE 会在所有可调度节点上部署 NGINX ingress controller。

说明： 从 v0.1.8 开始，只有 worker 节点是可调度节点，但在 v0.1.8 之前， worker 节点和 controlplane 节点都是是可调度节点。

RKE 将以 DaemonSet 的形式部署 Ingress Controller，并使用 hostnetwork: true，因此在部署控制器的每个节点上都会打开 80和443端口。

Ingress Controller 使用的镜像在系统镜像中。对于每个 Kubernetes 版本，都有与 Ingress Controller 相关联的默认镜像，这些镜像可以通过更改system_images中的镜像标签来覆盖默认设置。

调度 Ingress Controller

如果只想在特定的节点上部署 Ingress Controller ，可以在dns部分设置一个node_selector。node_selector中的标签需要与要部署 Ingress Controller 的节点上的标签相匹配。

  1. nodes:
  2.   - address: 1.1.1.1
  3.     role: [controlplane, worker, etcd]
  4.     user: root
  5.     labels:
  6.       app: ingress
  8. ingress:
  9.   provider: nginx
  10.   node_selector:
  11.     app: ingress

禁用默认 Ingress Controller

您可以在群集配置中的 Ingressprovider设置为none，禁用默认的 Ingress Controller。

  1. ingress:
  2.   provider: none

配置 NGINX Ingress Controller

Kubernetes 中有 NGINX 选项：NGINX 配置图的选项列表、命令行 extra_args和注释。

  1. ingress:
  2.   provider: nginx
  3.   options:
  4.     map-hash-bucket-size: "128"
  5.     ssl-protocols: SSLv2
  6.   extra_args:
  7.     enable-ssl-passthrough: ""

配置 NGINX 默认证书

在配置具有 TLS 终止功能的 ingress 对象时，必须为其提供用于加密/解密的证书。与其在每次配置 ingress 时明确定义证书，不如设置一个默认使用的自定义证书。

在使用通配符证书的环境中，设置默认证书特别有用，因为该证书可以应用在多个子域中。

先决条件

  • 访问用于创建集群的cluster.yml。
  • 你将使用的 PEM 编码证书作为默认证书。

  1. 获取或生成 PEM 编码形式的证书密钥对。

  2. 运行以下命令，从你的 PEM 编码证书中生成一个 Kubernetes 密钥，用mycert.cert和mycert.key代替你的证书。

    1. kubectl -n ingress-nginx create secret tls ingress-default-cert --cert=mycert.cert --key=mycert.key -o yaml --dry-run=true > ingress-default-cert.yaml

  3. 将 ingress-default-cert.yml的内容嵌入到 RKE 的cluster.yml文件中：

    1. addons: |-
    2.   ---
    3.   apiVersion: v1
    4.   data:
    5.     tls.crt: [ENCODED CERT]
    6.     tls.key: [ENCODED KEY]
    7.   kind: Secret
    8.   metadata:
    9.     creationTimestamp: null
    10.     name: ingress-default-cert
    11.     namespace: ingress-nginx
    12.   type: kubernetes.io/tls

  4. 用下面的default-ssl-certificate参数定义你的 ingress 资源，它引用了我们之前在cluster.yml中extra_args下创建的密钥。

    1. ingress:
    2.   provider: "nginx"
    3.   extra_args:
    4.     default-ssl-certificate: "ingress-nginx/ingress-default-cert"

  5. 可选： 如果想将默认证书应用到已经存在的集群中的入口，必须删除 NGINX 入口控制器 pods，让 Kubernetes 使用新配置的extra_args调度新的 pods。

    1. kubectl delete pod -l app=ingress-nginx -n ingress-nginx