Kubernetes Ingress TLS：SSL 证书配置，HTTPS 加密访问实现

1. 引言：为什么需要Ingress TLS

在当今互联网环境中，数据安全已经成为不可忽视的重要议题。想象一下，如果你在网上购物时，所有的支付信息都以明文形式传输，那该有多危险！这就是为什么HTTPS变得如此重要。而在Kubernetes集群中，Ingress TLS就是帮助我们实现HTTPS加密访问的关键技术。

简单来说，Ingress TLS就像是你家小区的门禁系统，确保只有持有正确"钥匙"(SSL证书)的人才能安全进出。它通过在Ingress资源上配置SSL/TLS证书，为你的Kubernetes服务提供端到端的加密通信。

2. 准备工作：获取SSL证书

在配置Ingress TLS之前，我们需要先准备好SSL证书。目前主要有三种获取方式：

购买商业证书(如DigiCert、GeoTrust等)
使用Let's Encrypt等免费证书颁发机构
自签名证书(仅用于测试环境)

这里我们以Let's Encrypt为例，因为它免费且被广泛信任。我们可以使用cert-manager来自动化管理证书。

# 示例：安装cert-manager (技术栈：Kubernetes + Helm)
# 添加cert-manager Helm仓库
helm repo add jetstack https://charts.jetstack.io
helm repo update

# 安装cert-manager
helm install cert-manager jetstack/cert-manager \
  --namespace cert-manager \
  --create-namespace \
  --version v1.8.0 \
  --set installCRDs=true

3. 配置Ingress TLS基础示例

现在，让我们来看一个最基本的Ingress TLS配置示例。假设我们有一个名为"myapp"的web服务，需要通过HTTPS访问。

# 示例：基础Ingress TLS配置 (技术栈：Kubernetes)
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: myapp-ingress
  annotations:
    # 使用cert-manager自动获取证书的注解
    cert-manager.io/cluster-issuer: "letsencrypt-prod"
spec:
  tls:
  - hosts:
    - myapp.example.com
    secretName: myapp-tls-secret  # 存储证书的Secret名称
  rules:
  - host: myapp.example.com
    http:
      paths:
      - path: /
        pathType: Prefix
        backend:
          service:
            name: myapp-service
            port:
              number: 80

在这个示例中，我们做了以下几件事：

定义了一个Ingress资源
在tls部分指定了域名和存储证书的Secret名称
配置了路由规则，将所有流量转发到myapp-service

4. 高级TLS配置技巧

4.1 多域名支持

如果你的应用需要支持多个域名，可以这样配置：

# 示例：多域名TLS配置 (技术栈：Kubernetes)
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: multi-domain-ingress
spec:
  tls:
  - hosts:
    - app1.example.com
    - app2.example.com
    secretName: multi-domain-tls-secret
  rules:
  - host: app1.example.com
    http:
      paths:
      - path: /
        backend:
          service:
            name: app1-service
            port:
              number: 80
  - host: app2.example.com
    http:
      paths:
      - path: /
        backend:
          service:
            name: app2-service
            port:
              number: 80

4.2 强制HTTPS重定向

为了确保所有流量都使用HTTPS，我们可以配置重定向：

# 示例：强制HTTPS重定向 (技术栈：Kubernetes + Nginx Ingress)
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: redirect-ingress
  annotations:
    nginx.ingress.kubernetes.io/ssl-redirect: "true"
    nginx.ingress.kubernetes.io/force-ssl-redirect: "true"
spec:
  tls:
  - hosts:
    - secure.example.com
    secretName: secure-tls-secret
  rules:
  - host: secure.example.com
    http:
      paths:
      - path: /
        backend:
          service:
            name: secure-service
            port:
              number: 80

5. 证书自动续期与管理

使用cert-manager可以自动续期证书，避免证书过期导致的服务中断。下面是一个完整的ClusterIssuer配置示例：

# 示例：Let's Encrypt生产环境ClusterIssuer (技术栈：Kubernetes + cert-manager)
apiVersion: cert-manager.io/v1
kind: ClusterIssuer
metadata:
  name: letsencrypt-prod
spec:
  acme:
    email: admin@example.com  # 替换为你的邮箱
    server: https://acme-v02.api.letsencrypt.org/directory
    privateKeySecretRef:
      name: letsencrypt-prod-account-key
    solvers:
    - http01:
        ingress:
          class: nginx
    # 可选：DNS01验证方式，适合没有公开Ingress的情况
    # - dns01:
    #     cloudDNS:
    #       project: my-gcp-project
    #       serviceAccountSecretRef:
    #         name: clouddns-service-account
    #         key: key.json

6. 常见问题排查

6.1 证书未生效

如果配置后HTTPS仍然不工作，可以按以下步骤检查：

查看Ingress资源状态：kubectl get ingress
检查证书Secret是否存在：kubectl get secret myapp-tls-secret
查看cert-manager日志：kubectl logs -n cert-manager deploy/cert-manager

6.2 混合内容警告

即使配置了HTTPS，如果页面中仍然引用HTTP资源，浏览器会显示"混合内容"警告。解决方法：

确保所有资源(图片、CSS、JS等)都使用HTTPS URL
使用相对协议(如//example.com/resource)或直接使用HTTPS

7. 性能优化建议

7.1 TLS会话恢复

启用TLS会话恢复可以减少握手开销：

# 示例：启用TLS会话恢复 (技术栈：Kubernetes + Nginx Ingress)
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: optimized-ingress
  annotations:
    nginx.ingress.kubernetes.io/ssl-session-cache: "true"
    nginx.ingress.kubernetes.io/ssl-session-cache-size: "10m"
    nginx.ingress.kubernetes.io/ssl-session-timeout: "10m"
spec:
  tls:
  - hosts:
    - optimized.example.com
    secretName: optimized-tls-secret
  rules:
  - host: optimized.example.com
    http:
      paths:
      - path: /
        backend:
          service:
            name: optimized-service
            port:
              number: 80

7.2 现代TLS协议配置

禁用老旧的不安全协议和加密套件：

# 示例：安全TLS配置 (技术栈：Kubernetes + Nginx Ingress)
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: secure-tls-ingress
  annotations:
    nginx.ingress.kubernetes.io/ssl-ciphers: "ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384"
    nginx.ingress.kubernetes.io/ssl-protocols: "TLSv1.2 TLSv1.3"
spec:
  tls:
  - hosts:
    - secure-tls.example.com
    secretName: secure-tls-secret
  rules:
  - host: secure-tls.example.com
    http:
      paths:
      - path: /
        backend:
          service:
            name: secure-tls-service
            port:
              number: 80

8. 应用场景分析

8.1 电子商务网站

对于处理支付信息的电商网站，Ingress TLS是必不可少的。它不仅保护用户数据，还能提升Google搜索排名(HTTPS是排名因素之一)。

8.2 企业内部系统

即使是内部系统，使用TLS加密也能防止内部网络中的中间人攻击，保护敏感业务数据。

8.3 微服务架构

在微服务架构中，Ingress TLS可以作为边缘安全层，为内部服务提供统一的安全入口。

9. 技术优缺点

9.1 优点

数据安全：保护传输中的数据不被窃听或篡改
身份验证：验证服务器身份，防止中间人攻击
SEO优势：HTTPS网站通常有更好的搜索排名
用户信任：浏览器地址栏的锁图标增强用户信任感

9.2 缺点

配置复杂性：证书管理和续期需要额外工作
性能开销：TLS握手会增加少量延迟
成本：商业证书可能需要付费(虽然Let's Encrypt解决了这个问题)

10. 注意事项

证书有效期：Let's Encrypt证书只有90天有效期，必须确保自动续期正常工作
DNS配置：确保域名解析正确指向Ingress控制器
证书类型：生产环境避免使用自签名证书
协议版本：禁用不安全的TLS 1.0和1.1版本
备份Secret：定期备份包含证书的Secret资源

11. 总结

Kubernetes Ingress TLS配置虽然初看复杂，但通过工具如cert-manager可以大大简化证书管理的工作。正确的TLS配置不仅能保护你的应用数据，还能提升用户体验和搜索引擎排名。本文从基础配置到高级优化，提供了全面的指导，希望能帮助你在Kubernetes环境中顺利实现HTTPS加密访问。

记住，网络安全不是一次性的工作，而是需要持续关注和维护的过程。定期检查证书状态、更新TLS配置、监控安全漏洞，才能确保你的应用长期安全可靠地运行。

敲码拾光专注于编程技术，涵盖编程语言、代码实战案例、软件开发技巧、IT前沿技术、编程开发工具，是您提升技术能力的优质网络平台。