kubernetes + 入口控制器 + 加密 + 阻止混合内容

Question

感谢您抽时间阅读。

我正在 digitalocean 中测试一组 kubernetes。

我已经安装了一个带有 cert-manager 和 letsencript 的入口控制器（我遵循了本指南https://cert-manager.io/docs/tutorials/acme/ingress/ ），当我启动一些部署时，我遇到了文件问题不在根目录中（阻止加载混合活动内容）。

举一个更具体的例子，我正在尝试放置应用程序书架，如果我不激活 tls，我会正确地看到所有内容。 另一方面，如果我激活 tls，我会看到没有 css 的所有内容，并且在控制台中我看到有些文件已被浏览器阻止。

另一方面，如果我进行端口转发，我会正确地看到它（ http://localhost:8080/ ）-> 注意 http 而不是 https

我也用 wordpress 进行了测试，遇到同样的问题，主页显示没有样式。 在这种情况下，对于 wordpress 有一个插件，如果你进入后端（浏览没有 css 的页面是一种折磨）并安装它可以解决问题（这是插件https://es.wordpress.org/plugins /ssl-insecure-content-fixer/ ）。 在插件上，我必须检查“HTTP_X_FORWARDED_PROTO”才能使其工作。 但我意识到这是一个反复出现的问题，我认为有些概念对我来说不清楚，我不太清楚我必须做什么。

这是入口控制器的示例

apiVersion: extensions/v1beta1
kind: Ingress
metadata:
  name: bookstack
  annotations:
    kubernetes.io/ingress.class: "nginx"    
    # cert-manager.io/issuer: "letsencrypt-staging"
    cert-manager.io/issuer: "letsencrypt-prod"
spec:
  tls:
  - hosts:
    - k1.athosnetwork.es
    secretName: tls-bookstack
  rules:
  - host: k1.athosnetwork.es
    http:
      paths:
      - path: /
        backend:
          serviceName: bookstack
          servicePort: 80

非常感谢你花时间陪伴

Answer 1

您也可以尝试以下方法，效果很好。

1. 使用基于舵图的步骤从此处安装cert-mananger。

2. 然后按照以下stackoverflow帖子进行操作 ，之后您将必须执行以下三个步骤-

一种。 申请证书yaml b。 应用clusterissuer yaml（如果该文章中提到的内容不可接受，请尝试使用cert-manager.io/v1alpha2作为apiVersion）c。 在TLS下，将证书中提到的秘密名称添加到入口规则中，这将使证书管理器执行内部攻击。

一旦cert-manager成功完成了acme挑战，那么您可以看到

kubectl get certificate

证书的状态应准备就绪。

您的主机名将通过LetsEncrypt加密。

请注意-cert-manager将自行创建TLS机密，与您无关，只需将其放在入口规则中

Answer 2

Tushar Mahajan感谢您的答复。 但是我想我不能很好地解释这个问题。 我可以使用let encript来请求证书，在世界示例中，例如httpd docker image，我只能看到它“有效”，并且没有资产可以通过ssh毫无问题地看到该网页。 问题是当页面上有诸如CSS或图像或js之类的资产时。 在图像上，我在控制台上看到警告，但看到了图像。 这是因为图像不是活动内容，但是CSS和JS在控制台上看到一个错误（不是警告），提示我该内容被阻止。 有关混合内容的更多信息： https : //developer.mozilla.org/en-US/docs/Web/Security/Mixed_content

您可以在此处检查： https : //k1.athosnetwork.es http://k1.athosnetwork.es

您可以在https上看到该证书有效，但是http协议上有一些资产，浏览器将其阻止

提前致谢

Answer 3

我找到了解决方案，我根据我的情况写给其他人。

问题出在我没有在部署中写的一个环境变量上。

APP_URL 。

在书架 dockerhub 存储库上谈论它：

-e APP_URL=http://your.site.here.xyz    for specifying the url your application will be accessed on (required for correct operation of reverse proxy)