带有 gke tcp 负载均衡器和 TLS 证书的 nginx 入口

Question

我在 GKE 上使用 nginx-ingress 控制器运行集群，而不是使用默认的 gce 入口控制器。

我正在使用 cert-manager 生成证书。 如果我使用默认的 gce 控制器，这工作正常。

我已经使用以下配置部署了 nginx-ingress 控制器：

containers:
  - args:
    - /nginx-ingress-controller
    - --default-backend-service=kube-system/nginx-ingress-default-backend
    - --publish-service=kube-system/nginx-ingress-controller
    - --election-id=ingress-controller-leader
    - --ingress-class=nginx
    - --configmap=kube-system/nginx-ingress-controller
    - --sort-backends=true

此服务使用默认服务type=LoadBalancer ，我可以在 Google Cloud 控制台中看到我已经配置了 TCP 第 4 层负载平衡器。

我的前端服务和入口有以下注释：

annotations:
  ingress.kubernetes.io/allow-http: "true"
  kubernetes.io/ingress.class: nginx
  ingress.kubernetes.io/ssl-redirect: "true"
  kubernetes.io/tls-acme: "true"

HTTP 可以正常工作，但是当我尝试使用 HTTPS 时，出现 SSL 协议错误：

* Rebuilt URL to: https://hostname/
*   Trying xx.xxx.xx.xxx...
* TCP_NODELAY set
* Connected to guestbook.lbrlabs.com (xx.xxx.xx.xxx) port 443 (#0)
* Unknown SSL protocol error in connection to hostname:-9847
* Closing connection 0
curl: (35) Unknown SSL protocol error in connection to hostname:-9847

我可以看到日志中的二进制数据：

10.36.0.1 - [10.36.0.1] - - [04/Aug/2018:23:37:23 +0000] "\x16\x03\x01\x00\xC8\x01\x00\x00\xC4\x03\x03[f8\xB4J\xFD\xB6\x1C9\x93\xA9\xF6$\x82\x1B~h" 400 174 "-" "-" 0 0.051 [] - - - -

我在这里缺少什么配置选项？ 我尝试使用代理协议，但没有奏效（如我所料）。 我正在使用 nginx-ingress-controller 的0.14.0 。

Answer 1

如果您将整个 ingress yaml 放在帖子中会很有帮助，但是从第一次来看，如果您通过 Ingress 创建 TLS 证书，那么我认为您会错过注释中的颁发者，因为 cert-manager 检查此注释以颁发证书。 检查以下：

kind: Ingress
metadata:
  annotations:
    certmanager.k8s.io/issuer: letsencrypt-prod
    ...
spec:
  rules:
  - host: example.com
    http:
      paths:
      - backend:
          serviceName: backend-service
          servicePort: http
        path: /
  tls:
  - hosts:
    - example.com
    secretName: example-com-tls

您也可以描述您的入口以查看事件：

kubectl describe ingress <ingress-name>

如果不是这种情况，那么如果一切正常，您必须通过以下方式对证书进行故障排除：

kubectl get certs # To see the status of certificates
kubectl describe cert # If it is issued successfully

您还可以检查证书管理器控制器的日志是如何颁发证书的。

kubectl logs cert-manager-pod-name-21322 -n cert-manager

希望能帮助到你！