Bind sertifikat dan buat pendengar HTTPS untuk CLB gerbang masuk - Alibaba Cloud Service Mesh

Service Mesh (ASM) meningkatkan keamanan gerbang masuk dengan mendukung HTTPS dan pemuatan sertifikat dinamis. Anda dapat melakukan bind sertifikat ke instans Classic Load Balancer (CLB) yang terkait dengan gerbang masuk Anda dan membuat pendengar HTTPS. Konfigurasi ini memindahkan terminasi TLS ke instans CLB, yang mendekripsi permintaan HTTPS masuk dan meneruskannya sebagai permintaan HTTP ke Pod gerbang backend. Topik ini menjelaskan cara melakukan bind sertifikat dan membuat pendengar HTTPS untuk instans CLB dari gerbang masuk ASM.

Prasyarat

Langkah 1: Siapkan sertifikat CLB

Gunakan sertifikat dan kunci privat yang sudah ada

Jika Anda memiliki sertifikat dan kunci privat yang valid untuk aliyun.com, beri nama kunci privat tersebut aliyun.com.key dan sertifikatnya aliyun.com.crt.

Buat sertifikat dan kunci privat baru

Jika Anda belum memiliki sertifikat dan kunci privat, Anda dapat menggunakan OpenSSL untuk membuat sertifikat tanda tangan sendiri dan kunci privat untuk aliyun.com.

Jalankan perintah berikut untuk membuat sertifikat root dan kunci privat.

openssl req -x509 -sha256 -nodes -days 365 -newkey rsa:2048 -subj '/O=myexample Inc./CN=aliyun.com' -keyout aliyun.root.key -out aliyun.root.crt

Buat Sertifikat SSL.
1. Di Konsol Classic Load Balancer (CLB), pilih Classic Load Balancer (CLB) > Certificate Management di panel navigasi sebelah kiri.
2. Pada halaman Certificates, klik Add Certificate.
3. Pada panel Add Certificate, pilih Alibaba Cloud Certificates, lalu klik Create SSL Certificate di bagian bawah daftar sertifikat.
4. Di halaman Certificate Management Service, pilih Certificate Management > SSL Certificate Management di panel navigasi sebelah kiri.
5. Pada tab Uploaded, klik Uploaded Certificates. Atur Certificate Name menjadi aliyun.com. Unggah sertifikat root yang telah dibuat ke Certificate File dan kunci privat ke Certificate Key. Klik OK dan abaikan prompt mengenai rantai sertifikat.
Untuk informasi selengkapnya tentang cara membuat sertifikat di Konsol Classic Load Balancer (CLB), lihat Pilih Sertifikat yang Diterbitkan Alibaba Cloud.

Langkah 2: Buat pendengar HTTPS

ASM memungkinkan Anda menyesuaikan layanan gerbang masuk dengan menentukan parameter dalam file konfigurasi YAML. Untuk informasi selengkapnya, lihat Manage an ingress gateway by using KubeAPI.

Tambahkan konten berikut ke file ingressgateway.yaml Anda.

spec:
 ....
  ports:
    - name: http-0
      port: 80
      protocol: HTTP
      targetPort: 80
    - name: https-1
      port: 443
      protocol: HTTPS
      targetPort: 80
  ....
  serviceAnnotations:
    service.beta.kubernetes.io/alibaba-cloud-loadbalancer-cert-id: "${YOUR_CERT_ID}"
    service.beta.kubernetes.io/alibaba-cloud-loadbalancer-protocol-port: 'https:443'
    ....
  serviceType: LoadBalancer

Bidang serviceAnnotations mengonfigurasi instans CLB dengan pendengar HTTPS. Permintaan HTTPS yang dikirim ke Port 443 dihentikan di instans CLB, yang mendekripsi permintaan tersebut dan meneruskannya sebagai permintaan HTTP ke Port 80 pada Pod gerbang backend. Dalam file YAML, ganti ${YOUR_CERT_ID} dengan ID sertifikat dari Langkah 1.

Jalankan perintah berikut untuk mendeploy gerbang masuk.
```
kubectl apply -f ingressgateway.yaml
```

Langkah 3: Verifikasi akses HTTPS

Masuk ke Konsol ASM. Di panel navigasi sebelah kiri, pilih Service Mesh > Mesh Management.
Di halaman Mesh Management, klik nama instans ASM. Di panel navigasi sebelah kiri, pilih ASM Gateways > Ingress Gateway.
Di halaman Ingress Gateway, temukan Service address dari gerbang target.

Service address adalah alamat IP gerbang tersebut.
Jalankan perintah berikut untuk mengakses layanan productpage melalui HTTPS.

Ganti ${INGRESS_GATEWAY_IP} dengan alamat IP gerbang dari langkah sebelumnya.
```
curl -k -H Host:a.aliyun.com --resolve a.aliyun.com:443:${INGRESS_GATEWAY_IP}  https://a.aliyun.com/productpage -I
```
Contoh output:
```
HTTP/2 200
date: Fri, 13 Jan 2023 07:11:45 GMT
content-type: text/html; charset=utf-8
content-length: 5294
vary: Accept-Encoding
x-envoy-upstream-service-time: 23
```
Output tersebut menunjukkan bahwa instans CLB berhasil mendekripsi lalu lintas terenkripsi dan meneruskannya ke kluster. Hal ini mengonfirmasi bahwa pendengar HTTPS telah dikonfigurasi dengan benar.