Bind a certificate and create an HTTPS listener for an ingress gateway CLB - Alibaba Cloud Service Mesh

Service Mesh (ASM) mejora la seguridad de las puertas de enlace de entrada mediante la compatibilidad con HTTPS y la carga dinámica de certificados. Usted puede vincular un certificado a la instancia de Classic Load Balancer (CLB) asociada a su puerta de enlace de entrada y crear un listener HTTPS. Esta configuración delega la terminación TLS a la instancia de CLB, que descifra las solicitudes HTTPS entrantes y las reenvía como solicitudes HTTP al pod de la puerta de enlace en el backend. En este tema se explica cómo vincular un certificado y crear un listener HTTPS para la instancia de CLB de una puerta de enlace de entrada de ASM.

Requisitos previos

Paso 1: Preparar un certificado de CLB

Usar un certificado y una clave privada existentes

Si ya cuenta con un certificado y una clave privada válidos para aliyun.com, asigne el nombre aliyun.com.key a la clave privada y aliyun.com.crt al certificado.

Generar un nuevo certificado y una nueva clave privada

Si no dispone de un certificado ni de una clave privada, utilice OpenSSL para generar un certificado autofirmado y una clave privada para aliyun.com.

Ejecute el siguiente comando para crear un certificado raíz y una clave privada.

openssl req -x509 -sha256 -nodes -days 365 -newkey rsa:2048 -subj '/O=myexample Inc./CN=aliyun.com' -keyout aliyun.root.key -out aliyun.root.crt

Cree un certificado SSL.
1. En la consola de Classic Load Balancer (CLB), elija Classic Load Balancer (CLB) > Certificate Management en el panel de navegación izquierdo.
2. En la página Certificates, haga clic en Add Certificate.
3. En el panel Add Certificate, seleccione Alibaba Cloud Certificates y luego haga clic en Create SSL Certificate en la parte inferior de la lista de certificados.
4. En la página Certificate Management Service, elija Certificate Management > SSL Certificate Management en el panel de navegación izquierdo.
5. En la pestaña Uploaded, haga clic en Uploaded Certificates. Establezca Certificate Name como aliyun.com. Cargue el certificado raíz generado en Certificate File y la clave privada en Certificate Key. Haga clic en OK e ignore el aviso sobre la cadena de certificados.
Para obtener más información sobre cómo crear un certificado en la consola de Classic Load Balancer (CLB), consulte Select Alibaba Cloud Issued Certificate.

Paso 2: Crear un listener HTTPS

ASM le permite personalizar el servicio de la puerta de enlace de entrada mediante la definición de parámetros en un archivo de configuración YAML. Para obtener más información, consulte Manage an ingress gateway by using KubeAPI.

Agregue el siguiente contenido a su archivo ingressgateway.yaml.
```
spec:
 ....
  ports:
    - name: http-0
      port: 80
      protocol: HTTP
      targetPort: 80
    - name: https-1
      port: 443
      protocol: HTTPS
      targetPort: 80
  ....
  serviceAnnotations:
    service.beta.kubernetes.io/alibaba-cloud-loadbalancer-cert-id: "${YOUR_CERT_ID}"
    service.beta.kubernetes.io/alibaba-cloud-loadbalancer-protocol-port: 'https:443'
    ....
  serviceType: LoadBalancer
```
El campo serviceAnnotations configura una instancia de CLB con un listener HTTPS. Las solicitudes HTTPS enviadas al puerto 443 terminan en la instancia de CLB, que descifra las solicitudes y las reenvía como peticiones HTTP al puerto 80 del pod de la puerta de enlace en el backend. En el archivo YAML, sustituya ${YOUR_CERT_ID} por el identificador del certificado obtenido en Step 1.
Ejecute el siguiente comando para desplegar la puerta de enlace de entrada.
```
kubectl apply -f ingressgateway.yaml
```

Paso 3: Comprobar el acceso HTTPS

Inicie sesión en la consola de ASM. En el panel de navegación izquierdo, elija Service Mesh > Mesh Management.
En la página Mesh Management, haga clic en el nombre de la instancia de ASM. En el panel de navegación izquierdo, elija ASM Gateways > Ingress Gateway.
En la página Ingress Gateway, localice la Service address de la puerta de enlace destino.

La Service address corresponde a la dirección IP de la puerta de enlace.
Ejecute el siguiente comando para acceder al servicio productpage mediante HTTPS.

Sustituya ${INGRESS_GATEWAY_IP} por la dirección IP de la puerta de enlace obtenida en el paso anterior.
```
curl -k -H Host:a.aliyun.com --resolve a.aliyun.com:443:${INGRESS_GATEWAY_IP}  https://a.aliyun.com/productpage -I
```
Salida de ejemplo:
```
HTTP/2 200
date: Fri, 13 Jan 2023 07:11:45 GMT
content-type: text/html; charset=utf-8
content-length: 5294
vary: Accept-Encoding
x-envoy-upstream-service-time: 23
```
La salida muestra que la instancia de CLB descifró correctamente el tráfico cifrado y lo reenvió al clúster. Esto confirma que el listener HTTPS se configuró de manera adecuada.