这个 GKE 集群如何通过内部 https 负载均衡器 + 入口向内部 https 流量开放？

Question

我试图了解内部负载均衡器（在 su.net 上具有私有 RFC1918 地址）如何成功地将流量路由到在 kube.netes 集群中运行的各种应用程序。

我试图观察的集群在 GKE 上运行，包括一系列不同的状态集、部署等，通过 helm chart 部署。

到各个应用程序的所有路径都通过 nginx 入口（以及每个节点上随附的守护进程入口 controller）进行映射。

我无法理解的是内部 https 负载均衡器（由同事通过 GCP UI 设置）如何在访问 RFC 1918 地址时通过我们的 VPC+VPN 向内部客户端开放流量。

我的问题与哪个配置/kube.netes object 负责实际将流量从这些 pod 公开到访问负载均衡器地址的用户外部（如集群外部）有关。

入口似乎在做它的工作，负载均衡器也是如此，但我不明白如何简单地添加一个配置到实例组的负载均衡器足以让这一切工作的配置。

当用户访问 rfc1918 负载均衡器 IP 时，实际发生了什么？

我的想法是：流量在负载均衡器处终止，然后发出一个新请求（在集群内），入口 controller 使用映射到每个相应服务（clusterIP）的入口 object（规则配置），因此为什么用户由每个相应的 pod 提供服务。

换句话说USER -> LB.IP. (SSL) -> Controller Daemon -> (routed to) -> Cluster IP -> Pod USER -> LB.IP. (SSL) -> Controller Daemon -> (routed to) -> Cluster IP -> Pod

^ 我不清楚上面路径中LB.IP -> Controller Daemon之间的链接。

Answer 1

我不清楚上面路径中 LB.IP -> Controller 守护进程之间的链接。

由于您不清楚这部分，看起来您可能只注意到入口、部署和守护程序集。 如果您注意到集群中的服务，您可能已经明白了。

IP和Nginx controller之间的连接与Kube.netes 服务一起使用，如果您检查Nginx 入口 controller服务类型，您可能会发现它类型： LoadBalancer 。 服务公开 LB IP 并将请求转发到 Nginx 入口 controller 进一步检查路由规则。

基于路由规则，配置请求被重定向到服务和进一步的 POD。