Kubernetes(五)：Service

冷不防 2022-11-26 01:49 174阅读 0赞

### 文章目录 ###

*  一、Service 简介
 *   *  1.1 Service 概念
     *  1.2 Service 类型
     *  1.3 Service 基础导论
 *  二、代理
 *   *  2.1 VIP 和 Service 代理
     *  2.2 代理模式分类
 *  三、Service 使用
 *   *  3.1 ClusterIp
     *  3.2 Handless Service
     *  3.3 NodePort
     *  3.4 LoadBalancer
     *  3.5 ExternalName
 *  四、Ingress
 *   *  4.1 Ingress 简介
     *  4.2 Ingress HTTP 代理访问
     *  4.3 Ingress HTTPS 代理访问
     *  4.4 进行 BasicAuth
     *  4.5 Nginx进行重写

> 当Pod宕机后重新生成时，其IP等状态信息可能会变动，Service会根据Pod的Label对这些状态信息进行监控和变更，保证上游服务不受Pod的变动而影响。

# 一、Service 简介 #

## 1.1 Service 概念 ##

`Kubernetes Service`定义了这样一种抽象：`Service`是一种可以访问`Pod`逻辑分组的策略，`Service`通常是通过`Label Selector`访问`Pod`组。

`Service`能够提供负载均衡的能力，但是在使用上有以下限制：只提供 4 层负载均衡能力，而没有 7 层功能，但有时我们可能需要更多的匹配规则来转发请求，这点上 4 层负载均衡是不支持的

![在这里插入图片描述][20200810104300574.png]

## 1.2 Service 类型 ##

`Service`在`K8s`中有以下四种类型：

**① ClusterIp**

默认类型，自动分配一个仅`Cluster`内部可以访问的虚拟`IP`  
![在这里插入图片描述][20200810111312896.png]  
**② NodePort**

在`ClusterIP`基础上为`Service`在每台机器上绑定一个端口，这样就可以通过`: NodePort`来访问该服务。  
![在这里插入图片描述][20200810112040939.png]  
**③ LoadBalancer**

在`NodePort`的基础上，借助`Cloud Provider`创建一个外部负载均衡器，并将请求转发到`NodePort`  
![在这里插入图片描述][2020081011250113.png]  
**④ ExternalName**

把集群外部的服务引入到集群内部来，在集群内部直接使用。没有任何类型代理被创建，这只有`Kubernetes 1.7`或更高版本的`kube-dns`才支持。

## 1.3 Service 基础导论 ##

![在这里插入图片描述][20200810112911662.png]

*  客户端访问节点时通过`iptables`实现的
 *  `iptables`规则是通过`kube-proxy`写入的
 *  `apiserver`通过监控`kube-proxy`去进行对服务和端点的监控
 *  `kube-proxy`通过`pod`的标签（`lables`）去判断这个断点信息是否写入到`Endpoints`里

# 二、代理 #

## 2.1 VIP 和 Service 代理 ##

在`Kubernetes`集群中，每个`Node`运行一个`kube-proxy`进程。`kube-proxy`负责为`Service`实现了一种`VIP`（虚拟`IP`）的形式，而不是`ExternalName`的形式。在 `Kubernetes v1.0`版本，代理完全在`userspace`。在`Kubernetes v1.1`版本，新增了 `iptables`代理，但并不是默认的运行模式。从`Kubernetes v1.2`起，默认就是`iptables`代理。在`Kubernetes v1.8.0-beta.0`中，添加了`ipvs`代理。

在`Kubernetes 1.14`版本开始默认使用`ipvs`代理。

在`Kubernetes v1.0`版本，`Service`是 4 层（`TCP`/`UDP over IP`）概念。在`Kubernetes v1.1`版本，新增了`Ingress API`（`beta`版），用来表示 7 层（`HTTP`）服务

为何不使用`round-robin DNS`？

`DNS`会在很多的客户端里进行缓存，很多服务在访问`DNS`进行域名解析完成、得到地址后不会对`DNS`的解析进行清除缓存的操作，所以一旦有他的地址信息后，不管访问几次还是原来的地址信息，导致负载均衡无效

## 2.2 代理模式分类 ##

**① userspace 代理模式**  
![在这里插入图片描述][20200810144757506.png]  
**② iptables 代理模式**  
![在这里插入图片描述][20200810145510750.png]

**③ ipvs 代理模式**

`ipvs`代理模式中`kube-proxy`会监视`Kubernetes Service`对象和`Endpoints`，调用`netlink`接口以相应地创建`ipvs`规则并定期与`Kubernetes Service`对象和`Endpoints`对象同步 `ipvs`规则，以确保`ipvs`状态与期望一致。访问服务时，流量将被重定向到其中一个后端`Pod`。

与`iptables`类似，`ipvs`于`netfilter`的`hook`功能，但使用哈希表作为底层数据结构并在内核空间中工作。这意味着`ipvs`可以更快地重定向流量，并且在同步代理规则时具有更好的性能。此外，`ipvs`为负载均衡算法提供了更多选项，例如：

*  `rr`：轮询调度
 *  `lc`：最小连接数
 *  `dh`：目标哈希
 *  `sh`：源哈希
 *  `sed`：最短期望延迟
 *  `nq`：不排队调度  
    　  
    ![在这里插入图片描述][20200810145857329.png]

# 三、Service 使用 #

## 3.1 ClusterIp ##

`ClusterIP`主要在每个`node`节点使用`iptables`，将发向`ClusterIP`对应端口的数据，转发到`kube-proxy`中。然后`kube-proxy`自己内部实现有负载均衡的方法，并可以查询到这个`service`下对应`pod`的地址和端口，进而把数据转发给对应的`pod`的地址和端口。  
![在这里插入图片描述][20200810155021933.png]  
为了实现图上的功能，主要需要以下几个组件的协同工作：

*  **apiserver**：用户通过`kubectl`命令向`apiserver`发送创建`service`的命令，`apiserver`接收到请求后将数据存储到`etcd`中
 *  **kube-proxy**：`Kubernetes`的每个节点中都有一个叫做`kube-porxy`的进程，这个进程负责感知`service`、`pod`的变化，并将变化的信息写入本地的`iptables`规则中
 *  **iptables**：使用`NAT`等技术将`virtualIP`的流量转至`endpoint`中

创建`myapp-deploy.yaml`文件

apiVersion: apps/v1
    kind: Deployment
    metadata:
      name: myapp-deploy
      namespace: default
    spec:
      replicas: 3
      selector:
        matchLabels:
          app: myapp
          release: stabel
      template:
        metadata:
          labels:
            app: myapp
            release: stabel
            env: test
        spec:
          containers:
          - name: myapp
            image: wangyanglinux/myapp:v2
            imagePullPolicy: IfNotPresent
            ports:
            - name: http
              containerPort: 80

创建`Service`信息：

apiVersion: v1
    kind: Service
    metadata:
      name: myapp
      namespace: default
    spec:
      type: ClusterIP
      selector:
        app: myapp
        release: stabel
      ports:
      - name: http
        port: 80
        targetPort: 80

执行命令：

#创建deployment
    [root@master service]# kubectl apply -f myapp-deploy.yaml 
    deployment.apps/myapp-deploy created
    [root@master service]# kubectl get pod -o wide
    NAME                            READY   STATUS    RESTARTS   AGE     IP            NODE      NOMINATED NODE   READINESS GATES
    myapp-deploy-6cc7c66999-5n2dj   1/1     Running   0          16s     10.244.1.26   worker1   <none>           <none>
    myapp-deploy-6cc7c66999-dfgqb   1/1     Running   0          16s     10.244.1.27   worker1   <none>           <none>
    myapp-deploy-6cc7c66999-wz6zk   1/1     Running   0          16s     10.244.2.30   worker2   <none>           <none>
    
    #此时可以使用ip+port访问服务
    [root@master service]# curl 10.244.1.26
    Hello MyApp | Version: v2 | <a href="hostname.html">Pod Name</a>
    
    #创建service
    [root@master service]# kubectl apply -f myapp-service.yaml 
    service/myapp created
    [root@master service]# kubectl get svc
    NAME         TYPE        CLUSTER-IP       EXTERNAL-IP   PORT(S)   AGE
    myapp        ClusterIP   10.104.96.7      <none>        80/TCP    8s
    
    # 查看ipvs代理信息
    [root@master service]# ipvsadm -Ln
    IP Virtual Server version 1.2.1 (size=4096)
    Prot LocalAddress:Port Scheduler Flags
      -> RemoteAddress:Port           Forward Weight ActiveConn InActConn    
    TCP  10.104.96.7:80 rr
      -> 10.244.1.26:80               Masq    1      0          0         
      -> 10.244.1.27:80               Masq    1      0          1         
      -> 10.244.2.30:80               Masq    1      0          1         
    
    #直接访问serivce地址，可以发现请求轮询的转发到各个节点上
    [root@master service]# curl 10.104.96.7/hostname.html
    myapp-deploy-6cc7c66999-5n2dj
    [root@master service]# curl 10.104.96.7/hostname.html
    myapp-deploy-6cc7c66999-wz6zk
    [root@master service]# curl 10.104.96.7/hostname.html
    myapp-deploy-6cc7c66999-dfgqb
    [root@master service]# curl 10.104.96.7/hostname.html
    myapp-deploy-6cc7c66999-5n2dj

## 3.2 Handless Service ##

有时不需要或不想要负载均衡，以及单独的`Service IP`。遇到这种情况，可以通过指定`spec.clusterIP`的值为`None`来创建`Headless Service` 。这类`Service`并不会分配 `Cluster IP`，`kube-proxy`不会处理它们，而且平台也不会为它们进行负载均衡和路由。

[root@master service]# vim myapp-svc-headless.yaml
    
    apiVersion: v1
    kind: Service
    metadata:
      name: myapp-headless
      namespace: default
    spec:
      selector:
        app: myapp
      clusterIP: "None"
      ports:
      - port: 80
    	targetPort: 80
    	
    [root@master service]# kubectl apply -f myapp-svc-headless.yaml 
    
    # Handless Service只能通过访问域名的方案来访问其他节点

## 3.3 NodePort ##

`NodePort`的原理在于在`Node`上开了一个端口，将向该端口的流量导入到`kube-proxy`，然后由`kube-proxy`进一步到给对应的`pod`。

创建`Service`信息：

apiVersion: v1
    kind: Service
    metadata:
      name: myapp
      namespace: default
    spec:
      type: NodePort
      selector:
        app: myapp
        release: stabel
      ports:
      - name: http
        port: 80
        targetPort: 80

执行命令：

# 创建NodePort Service
    [root@master service]# kubectl apply -f myapp-nodeport-service.yaml 
    service/myapp configured
    [root@master service]# kubectl get svc
    NAME         TYPE        CLUSTER-IP       EXTERNAL-IP   PORT(S)        AGE
    myapp        NodePort    10.104.96.7      <none>        80:30333/TCP   46m
    
    [root@master service]# netstat -nlp | grep 30333
    tcp6       0      0 :::30333                :::*                    LISTEN      3459/kube-proxy 
    
    # 在外部系统可以访问到Node
    C:\Users\MrHu>curl 192.168.182.100:30333/hostname.html
    myapp-deploy-6cc7c66999-5n2dj

## 3.4 LoadBalancer ##

`LoadBalancer`和`NodePort`其实是同一种方式。区别在于`LoadBalancer`比`NodePort`多了一步，就是可以调用`Cloud provider`去创建`LB`来向节点导流。  
![在这里插入图片描述][20200810171232846.png]

## 3.5 ExternalName ##

这种类型的`Service`通过返回`CNAME`和它的值，可以将服务映射到`externalName`字段的内容( 例：`hub.hc.com` )。`ExternalName Service`是`Service`的特例，它没有 `selector`，也没有定义任何的端口和`Endpoint`。相反的，对于运行在集群外部的服务，它通过返回该外部服务的别名这种方式来提供服务。

kind: Service
    apiVersion: v1
    metadata:
      name: my-service-1
      namespace: default
    spec:
      type: ExternalName
      externalName: hub.hc.com

当查询主机`my-service.defalut.svc.cluster.local`时，集群的`DNS`服务将返回一个值 `hub.hc.com`的`CNAME`记录。访问这个服务的工作方式和其他的相同，唯一不同的是重定向发生在`DNS`层，而且不会进行代理或转发。

# 四、Ingress #

## 4.1 Ingress 简介 ##

> Service只支持4层负载均衡，而Ingress有7层功能

`Nginx`可以通过虚拟主机域名区分不同的服务，而每个服务通过`upstream`进行定义不同的负载均衡池，再加上`location`进行负载均衡的反向代理，在日常使用中只需要修改`nginx.conf`即可实现，但是在`K8S`中又该如何实现这种方式调度呢？

`K8S`引入了`ingress`自动进行服务的调度，`ingress`包含两大组件：`ingress controller`和`ingress`。

*  **ingress**：修改`Nginx`配置操作被抽象成了`ingress`对象，
 *  **ingress controller**：`ingress controller`通过与`kubernetes API`交互，动态的去感知进集群中`Ingress`规则变化，然后读取它，然后读取它，按照它自己的模板生成一段`nginx`配置，再写到`nginx Pod`中，最后`reload`以下，工作流程如下图：

![在这里插入图片描述][20200811093442245.png]  
**Ingress 的安装**

① 下载`Ingress`镜像：

[root@master ingress]# docker images
    REPOSITORY                                                       TAG                 IMAGE ID            CREATED             SIZE
    
    quay.io/kubernetes-ingress-controller/nginx-ingress-controller   0.25.0              02149b6f439f        13 months ago       508MB

② 拷贝配置文件`mandatory.yaml`、`service-nodeport.yaml`，位置参考`https://github.com/kubernetes/ingress-nginx/tree/nginx-0.25.0/deploy/static`。

③ 部署`ingress-controller`对外提供服务：

# 部署ingress controller
    [root@master ingress]# kubectl apply -f mandatory.yaml 
    
    [root@master ingress]# kubectl get pod -n ingress-nginx
    NAME                                        READY   STATUS    RESTARTS   AGE
    nginx-ingress-controller-7995bd9c47-kldqr   1/1     Running   0          13h

④ 给`ingress-controller`建立一个`servcie`，接收集群外部流量

# 部署一个svc
    [root@master ingress]# kubectl apply -f service-nodeport.yaml
    
    [root@master ingress]# kubectl get svc -n ingress-nginx
    NAME            TYPE       CLUSTER-IP     EXTERNAL-IP   PORT(S)                      AGE
    ingress-nginx   NodePort   10.106.6.160   <none>        80:31347/TCP,443:32445/TCP   13h

## 4.2 Ingress HTTP 代理访问 ##

创建`deployment`和`svc`

[root@master ingress]# vim ingress-deploy-svc.yaml
    apiVersion: extensions/v1beta1
    kind: Deployment
    metadata:
      name: nginx-dm
    spec:
      replicas: 2
      template:
        metadata:
          labels:
            name: nginx
        spec:
          containers:
            - name: nginx
              image: wangyanglinux/myapp:v1
              imagePullPolicy: IfNotPresent
              ports:
                - containerPort: 80
     
    ---
    apiVersion: v1
    kind: Service
    metadata:
      name: nginx-svc
    spec:
      ports:
        - port: 80
          targetPort: 80
          protocol: TCP
      selector:
        name: nginx
        
    [root@master ingress]# kubectl apply -f ingress-deploy-svc.yaml
    
    [root@master ingress]# kubectl get pod
    NAME                        READY   STATUS    RESTARTS   AGE
    nginx-dm-7d967c7ff5-kvz6f   1/1     Running   0          5m20s
    nginx-dm-7d967c7ff5-wk4jv   1/1     Running   0          5m21s
    
    [root@master ingress]# kubectl get svc
    NAME         TYPE        CLUSTER-IP      EXTERNAL-IP   PORT(S)   AGE
    nginx-svc    ClusterIP   10.100.57.201   <none>        80/TCP    16m

创建`ingress`:

[root@master ingress]# vim ingress1.yaml 
    apiVersion: extensions/v1beta1
    kind: Ingress
    metadata:
      name: nginx-test
    spec:
      rules:
        - host: www1.hc.com
          http:
            paths:
            - path: /
              backend:
                serviceName: nginx-svc
                servicePort: 80
    
    [root@master ingress]# kubectl create -f ingress1.yaml 
    
    [root@master ingress]# kubectl get ingress -o wide
    NAME         HOSTS         ADDRESS   PORTS   AGE
    nginx-test   www1.hc.com             80      23s
    
    [root@master ingress]# kubectl get svc -n ingress-nginx
    NAME            TYPE       CLUSTER-IP     EXTERNAL-IP   PORT(S)                      AGE
    ingress-nginx   NodePort   10.106.6.160   <none>        80:31347/TCP,443:32445/TCP   13h

在`Window`系统中配置`hosts`后进行访问：

C:\Users\MrHu>curl www1.hc.com:31347/hostname.html
    nginx-dm-7d967c7ff5-wk4jv

## 4.3 Ingress HTTPS 代理访问 ##

创建证书，以及`cert`存储方式：

[root@master cert]# openssl req -x509 -sha256 -nodes -days 365 -newkey rsa:2048 -keyout tls.key -out tls.crt -subj "/CN=nginxsvc/O=nginxsvc"
    
    [root@master cert]# kubectl create secret tls tls-secret --key tls.key --cert tls.crt
    secret/tls-secret created
    
    [root@master cert]# kubectl get secret
    NAME                  TYPE                                  DATA   AGE
    default-token-cjdrb   kubernetes.io/service-account-token   3      6d14h
    tls-secret            kubernetes.io/tls

创建`deployment`和`svc`:

[root@master ingress]# vim ingress-deploy-svc-https.yaml 
    apiVersion: extensions/v1beta1
    kind: Deployment
    metadata:
      name: nginx-https
    spec:
      replicas: 2
      template:
        metadata:
          labels:
            name: nginx2
        spec:
          containers:
            - name: nginx
              image: wangyanglinux/myapp:v2
              imagePullPolicy: IfNotPresent
              ports:
                - containerPort: 80
     
    ---
    apiVersion: v1
    kind: Service
    metadata:
      name: nginx-svc-2
    spec:
      ports:
        - port: 80
          targetPort: 80
          protocol: TCP
      selector:
        name: nginx2
    
    [root@master ingress]# kubectl apply -f ingress-deploy-svc-https.yaml

创建`ingress`：

[root@master ingress]# vim ingress-https.yaml 
    apiVersion: extensions/v1beta1
    kind: Ingress
    metadata:
      name: nginx-https
    spec:
      tls:
        - hosts:
          - www2.hc.com
          secretName: tls-secret
      rules:
        - host: www2.hc.com
          http:
            paths:
            - path: /
              backend:
                serviceName: nginx-svc-2
                servicePort: 80
    
    [root@master ingress]# kubectl apply -f ingress-https.yaml 
    
    [root@master ingress]# kubectl get svc
    NAME          TYPE        CLUSTER-IP       EXTERNAL-IP   PORT(S)   AGE
    nginx-svc-2   ClusterIP   10.106.108.145   <none>        80/TCP    10m
    
    [root@master ingress]# kubectl get svc -n ingress-nginx
    NAME            TYPE       CLUSTER-IP     EXTERNAL-IP   PORT(S)                      AGE
    ingress-nginx   NodePort   10.106.6.160   <none>        80:31347/TCP,443:32445/TCP   14h

在`Window`系统中配置`hosts`后进行访问：  
![在这里插入图片描述][20200811110206368.png]

## 4.4 进行 BasicAuth ##

[root@master ingress]# yum -y install httpd
    
    [root@master ingress]# htpasswd -c auth foo
    
    [root@master ingress]# kubectl create secret generic basic-auth --from-file=auth
    
    [root@master ingress]# vim ingress-auth.yaml
    apiVersion: extensions/v1beta1
    kind: Ingress
    metadata:
      name: ingress-with-auth
      annotations:
        nginx.ingress.kubernetes.io/auth-type: basic
        nginx.ingress.kubernetes.io/auth-secret: basic-auth
        nginx.ingress.kubernetes.io/auth-realm: 'Authentication Required - foo'
    spec:
      rules:
      - host: auth.hc.com
        http:
          paths:
          - path: /
            backend:
              serviceName: nginx-svc-2
              servicePort: 80
              
    [root@master ingress]# kubectl apply -f ingress-auth.yaml
    
    [root@master ingress]# kubectl get ingress
    NAME                HOSTS         ADDRESS   PORTS     AGE
    ingress-with-auth   auth.hc.com             80        15s
    nginx-https         www2.hc.com             80, 443   23m

在`Window`系统中配置`hosts`后进行访问：  
![在这里插入图片描述][20200811112137250.png]  
![在这里插入图片描述][20200811112155857.png]

## 4.5 Nginx进行重写 ##

`Nginx`重写字段：  
![在这里插入图片描述][20200811114031357.png]  
创建`ingress`：

[root@master ingress]# vim ingress-re.yaml 
    apiVersion: extensions/v1beta1
    kind: Ingress
    metadata:
      name: nginx-re
      annotations:
        nginx.ingress.kubernetes.io/rewrite-target: http://www1.hc.com:31347/hostname.html
    spec:
      rules:
      - host: re.hc.com
        http:
          paths:
          - path: /
            backend:
              serviceName: nginx-svc
              servicePort: 80
    
    [root@master ingress]# kubectl apply -f ingress-re.yaml

在`Window`系统中配置`hosts`后进行访问`re.hc.com:31347`：  
![在这里插入图片描述][20200811113915341.png]

[20200810104300574.png]: /images/20221124/ff8d5e6cda664309a0647a5aee74f60c.png
[20200810111312896.png]: /images/20221124/557dfc69b9fa4cf0ad39ef98daa4a719.png
[20200810112040939.png]: /images/20221124/ca0c7a2a6e2b425899bf36405750eade.png
[2020081011250113.png]: /images/20221124/2102ee6e9e3f4e34a0f53861bc316189.png
[20200810112911662.png]: /images/20221124/5cba91647adc41ffaa67ad9166687883.png
[20200810144757506.png]: /images/20221124/7cfea1b87ebf4511936767a1c3aa8756.png
[20200810145510750.png]: /images/20221124/7379d60e3b7d4fa68cd4b2b1d3644b31.png
[20200810145857329.png]: /images/20221124/4f9ab653329440a7b916ac5c6dc9f0d0.png
[20200810155021933.png]: /images/20221124/9fd34af929dd4e5db0ba8ad864c7764a.png
[20200810171232846.png]: /images/20221124/cce72c9979e24daa806113f96473978d.png
[20200811093442245.png]: /images/20221124/2a1a694a96a44255bb49b87f091c653e.png
[20200811110206368.png]: /images/20221124/d3cc362d8bb44efb8b0cd37f09257223.png
[20200811112137250.png]: /images/20221124/12df2b9f7c9c459c9e7cc3b61bf05cf8.png
[20200811112155857.png]: /images/20221124/5f73575387fa4bd9a0bb370b973629d2.png
[20200811114031357.png]: /images/20221124/31b695121a2547039bf0f03995dd6d92.png
[20200811113915341.png]: /images/20221124/19bf9457938b4738b4102b07c4ce4621.png