Alibaba Cloud Service Mesh:Ative TLS passthrough em um ingress gateway

Pré-requisitos

Antes de começar, verifique se você atende aos seguintes requisitos:

• O cluster está adicionado à instância ASM.

• Um ingress gateway implantado. Para mais informações, consulte Crie um ingress gateway.

• Uma aplicação implantada no cluster associado à instância ASM. Para mais informações, consulte Implantar uma aplicação em um cluster associado ao ASM.

• Um nome de domínio com registro ICP (Internet Content Provider). Nas etapas a seguir, aliyun.com serve como exemplo.

• kubectl configurado para conectar-se ao cluster que hospeda o ingress gateway.

Etapa 1: Preparar um certificado de servidor e chave privada

Se você já possui um certificado de servidor e uma chave privada para sample.aliyun.com, renomeie-os para sample.aliyun.com.crt e sample.aliyun.com.key e pule para a Etapa 2.

Caso contrário, execute os comandos openssl a seguir para gerar certificados autoassinados para testes.

1. Crie uma autoridade certificadora raiz (CA):

      openssl req -x509 -sha256 -nodes -days 365 -newkey rsa:2048 \
        -subj '/O=mynginx Inc./CN=aliyun.com' \
        -keyout aliyun.root.key -out aliyun.root.crt

2. Gere um certificado de servidor assinado pela CA raiz:

      openssl req -out sample.aliyun.com.csr -newkey rsa:2048 -nodes \
        -keyout sample.aliyun.com.key \
        -subj "/CN=sample.aliyun.com/O=mynginx sample organization"
   
      openssl x509 -req -days 365 \
        -CA aliyun.root.crt -CAkey aliyun.root.key -set_serial 0 \
        -in sample.aliyun.com.csr -out sample.aliyun.com.crt

Esses comandos geram os seguintes arquivos:

Etapa 2: Implantar um serviço de backend HTTPS

Esta etapa implanta um serviço de backend baseado em NGINX que termina a sessão TLS na porta 443. O ingress gateway repassa o tráfego TLS para esse serviço sem descriptografia.

events {
}
http {
  log_format main '$remote_addr - $remote_user [$time_local]  $status '
  '"$request" $body_bytes_sent "$http_referer" '
  '"$http_user_agent" "$http_x_forwarded_for"';
  access_log /var/log/nginx/access.log main;
  error_log  /var/log/nginx/error.log;
  server {
    listen 443 ssl;
    server_name www.aliyun.com;

    ssl_certificate /etc/nginx-server-certs/tls.crt;
    ssl_certificate_key /etc/nginx-server-certs/tls.key;

    location / {
        return 200 'Welcome to aliyun.com without TLS Termination!';
        add_header Content-Type text/plain;
    }
  }
}

apiVersion: v1
kind: Service
metadata:
  name: mynginxapp
  labels:
    app: mynginxapp
spec:
  ports:
  - port: 443
    protocol: TCP
  selector:
    app: mynginxapp
---
apiVersion: apps/v1
kind: Deployment
metadata:
  name: mynginxapp
spec:
  selector:
    matchLabels:
      app: mynginxapp
  replicas: 1
  template:
    metadata:
      labels:
        app: mynginxapp
    spec:
      containers:
      - name: nginx
        image: nginx:1.15
        ports:
        - containerPort: 443
        volumeMounts:
        - name: nginx-config
          mountPath: /etc/nginx
          readOnly: true
        - name: nginx-server-certs
          mountPath: /etc/nginx-server-certs
          readOnly: true
      volumes:
      - name: nginx-config
        configMap:
          name: mynginx-configmap
      - name: nginx-server-certs
        secret:
          secretName: nginx-server-certs

kubectl exec -it $(kubectl get pod -l app=mynginxapp -o jsonpath={.items..metadata.name}) \
  -c istio-proxy -- curl -v -k --resolve sample.aliyun.com:443:127.0.0.1 https://sample.aliyun.com

Welcome to aliyun.com without TLS Termination!

Etapa 3: Crie um Istio gateway com TLS passthrough

Defina um recurso Gateway que escute na porta 443 e encaminhe o tráfego TLS para o backend sem terminação.

1. Faça login no console do ASM.

2. No painel de navegação à esquerda, escolha Service Mesh > Mesh Management.

3. Na página Mesh Management, localize a instância ASM desejada. Clique em no nome da instância ou em Manage na coluna Actions.

4. No painel de navegação à esquerda, escolha ASM Gateways > Gateway. Na página exibida, clique em Create from YAML.

5. Selecione o namespace default e cole o YAML a seguir:

      apiVersion: networking.istio.io/v1alpha3
      kind: Gateway
      metadata:
        name: istio-mynginx-customingressgateway
      spec:
        selector:
          istio: ingressgateway  # binds to the default ingress gateway
        servers:
        - hosts:
          - 'sample.aliyun.com'
          port:
            name: https
            number: 443
            protocol: HTTPS
          tls:
            mode: PASSTHROUGH  # forward encrypted traffic without termination

6. Clique em Create.

O novo Gateway aparece na página Gateway.

Etapa 4: Crie um virtual service para roteamento TLS

Defina um VirtualService que roteie o tráfego TLS correspondente ao host SNI sample.aliyun.com para o serviço de backend.

1. Faça login no console do ASM.

2. No painel de navegação à esquerda, escolha Service Mesh > Mesh Management.

3. Na página Mesh Management, localize a instância ASM desejada. Clique em no nome da instância ou em Manage na coluna Actions.

4. No painel de navegação à esquerda, escolha Traffic Management Center > VirtualService. Na página exibida, clique em Create from YAML.

5. Selecione o namespace default e cole o YAML a seguir:

      apiVersion: networking.istio.io/v1alpha3
      kind: VirtualService
      metadata:
        name: istio-mynginx-customvirtualservice
      spec:
        hosts:
        - "sample.aliyun.com"
        gateways:
        - istio-mynginx-customingressgateway  # reference the Gateway from Step 3
        tls:
        - match:
          - port: 443
            sniHosts:
            - sample.aliyun.com  # route traffic by SNI hostname
          route:
          - destination:
              host: mynginxapp.default.svc.cluster.local  # backend service FQDN
              port:
                number: 443

6. Clique em Create.

O novo VirtualService aparece na página VirtualService.

Verifique o resultado

1. Obtenha o endereço IP do ingress gateway por um dos métodos a seguir:

   • Console do ASM: Consulte a Subetapa 1 da Etapa 3 em Usar recursos do Istio para rotear tráfego para diferentes versões de um serviço.

   • kubectl:

     kubectl get svc -n istio-system -l istio=ingressgateway

     A coluna EXTERNAL-IP exibe o endereço IP do gateway.

2. Envie uma solicitação HTTPS pelo ingress gateway. Substitua <ingress-gateway-ip> pelo endereço IP obtido na etapa anterior:

      curl -v --cacert aliyun.root.crt \
        --resolve sample.aliyun.com:443:<ingress-gateway-ip> \
        https://sample.aliyun.com

   Saída esperada:

      Welcome to aliyun.com without TLS Termination!

   Isso confirma que o tráfego TLS passa pelo ingress gateway até o backend NGINX, o qual termina a sessão TLS e retorna a resposta.

Limpeza

Para remover os recursos criados neste tutorial, execute os comandos a seguir:

kubectl delete gateway istio-mynginx-customingressgateway
kubectl delete virtualservice istio-mynginx-customvirtualservice
kubectl delete service mynginxapp
kubectl delete deployment mynginxapp
kubectl delete secret nginx-server-certs
kubectl delete configmap mynginx-configmap