边缘节点配置

    定义

    首先解释下什么叫边缘节点（Edge Node），所谓的边缘节点即集群内部用来向集群外暴露服务能力的节点，集群外部的服务通过该节点来调用集群内部的服务，边缘节点是集群内外交流的一个Endpoint。

    边缘节点要考虑两个问题

    • 边缘节点的高可用，不能有单点故障，否则整个kubernetes集群将不可用
    • 对外的一致暴露端口，即只能有一个外网访问IP和端口

    架构

    为了满足边缘节点的以上需求，我们使用keepalived来实现。

    在Kubernetes中添加了service的同时，在DNS中增加一个记录，这条记录需要跟ingress中的字段相同，IP地址即VIP的地址，本示例中是172.20.0.119，这样集群外部就可以通过service的DNS名称来访问服务了。

    选择Kubernetes的三个node作为边缘节点，并安装keepalived，下图展示了边缘节点的配置，同时展示了向Kubernetes中添加服务的过程。

    复用kubernetes测试集群的三台主机。

    172.20.0.113

    172.20.0.114

    172.20.0.115

    安装

    使用keepalived管理VIP，VIP是使用IPVS创建的，IPVS 已经成为linux内核的模块，不需要安装

    不使用镜像方式安装了，直接手动安装，指定三个节点为边缘节点（Edge node）。

    因为我们的测试集群一共只有三个node，所有在在三个node上都要安装keepalived和ipvsadmin。

    配置说明

    需要对原先的traefik ingress进行改造，从以Deployment方式启动改成DeamonSet。还需要指定一个与node在同一网段的IP地址作为VIP，我们指定成172.20.0.119，配置keepalived前需要先保证这个IP没有被分配。。

    • Traefik以DaemonSet的方式启动
    • 通过nodeSelector选择边缘节点
    • 通过hostPort暴露端口
    • 当前VIP漂移到了172.20.0.115上
    • Traefik根据访问的host和path配置，将流量转发到相应的service上

    参考，配置keepalived。

    keepalived的官方配置文档见：http://keepalived.org/pdf/UserGuide.pdf

    配置文件/etc/keepalived/keepalived.conf文件内容如下：

    1. ! Configuration File for keepalived
    3. global_defs {
    4.    notification_email {
    5.      root@localhost
    6.    }
    7.    notification_email_from kaadmin@localhost
    8.    smtp_server 127.0.0.1
    9.    smtp_connect_timeout 30
    10.    router_id LVS_DEVEL
    11. }
    13. vrrp_instance VI_1 {
    14.     state MASTER
    15.     interface eth0
    16.     virtual_router_id 51
    17.     priority 100
    18.     advert_int 1
    19.     authentication {
    20.         auth_type PASS
    21.         auth_pass 1111
    22.     }
    23.     virtual_ipaddress {
    24.     }
    25. }
    27. virtual_server 172.20.0.119 80{
    28.     delay_loop 6
    29.     lb_algo loadbalance
    30.     lb_kind DR
    31.     nat_mask 255.255.255.0
    32.     persistence_timeout 0
    35.     real_server 172.20.0.113 80{
    36.         weight 1
    37.         TCP_CHECK {
    38.         connect_timeout 3
    39.         }
    40.     }
    41.     real_server 172.20.0.114 80{
    42.         weight 1
    43.         TCP_CHECK {
    44.         connect_timeout 3
    45.         }
    46.     }
    47.     real_server 172.20.0.115 80{
    48.         weight 1
    49.         TCP_CHECK {
    50.         connect_timeout 3
    51.         }
    52.     }
    53. }

    Realserver的IP和端口即traefik供外网访问的IP和端口。

    将以上配置分别拷贝到另外两台node的/etc/keepalived目录下。

    我们使用转发效率最高的lb_kind DR直接路由方式转发，使用TCP_CHECK来检测real_server的health。

    设置keepalived为开机自启动：

    启动keepalived

    1. systemctl start keepalived

    关掉拥有这个VIP主机上的keepalived，观察VIP是否漂移到了另外两台主机的其中之一上。

    改造Traefik

    在这之前我们启动的traefik使用的是deployment，只启动了一个pod，无法保证高可用（即需要将pod固定在某一台主机上，这样才能对外提供一个唯一的访问地址），现在使用了keepalived就可以通过VIP来访问traefik，同时启动多个traefik的pod保证高可用。

    配置文件traefik.yaml内容如下：

    1. apiVersion: extensions/v1beta1
    2. kind: DaemonSet
    3. metadata:
    4.   name: traefik-ingress-lb
    5.   namespace: kube-system
    6.   labels:
    7.     k8s-app: traefik-ingress-lb
    8. spec:
    9.   template:
    11.         k8s-app: traefik-ingress-lb
    12.         name: traefik-ingress-lb
    13.     spec:
    14.       terminationGracePeriodSeconds: 60
    15.       hostNetwork: true
    16.       restartPolicy: Always
    17.       serviceAccountName: ingress
    18.       containers:
    19.       - image: traefik
    20.         name: traefik-ingress-lb
    21.         resources:
    22.           limits:
    23.             cpu: 200m
    24.             memory: 30Mi
    25.           requests:
    26.             cpu: 100m
    27.             memory: 20Mi
    28.         ports:
    29.         - name: http
    30.           containerPort: 80
    31.           hostPort: 80
    32.         - name: admin
    33.           containerPort: 8580
    34.           hostPort: 8580
    35.         args:
    36.         - --web
    37.         - --web.address=:8580
    38.         - --kubernetes
    39.       nodeSelector:
    40.         edgenode: "true"

    注意，我们使用了nodeSelector选择边缘节点来调度traefik-ingress-lb运行在它上面，所有你需要使用：

    给三个node打标签。

    查看DaemonSet的启动情况：

    1. $ kubectl -n kube-system get ds
    2. NAME                 DESIRED   CURRENT   READY     UP-TO-DATE   AVAILABLE   NODE-SELECTOR                              AGE
    3. traefik-ingress-lb   3         3         3         3            3           edgenode=true                              2h

    现在就可以在外网通过172.20.0.119:80来访问到traefik ingress了。

    使用域名访问Kubernetes中的服务

    现在我们已经部署了以下服务：

    • 三个边缘节点，使用Traefik作为Ingress controller
    • 使用keepalived做的VIP（虚拟IP）172.20.0.119

    这样在访问该IP的时候通过指定不同的Host来路由到kubernetes后端服务。这种方式访问每个Service时都需要指定，而同一个项目中的服务一般会在同一个Ingress中配置，使用Path来区分Service已经足够，这时候只要为VIP（172.20.0.119）来配置一个域名，所有的外部访问直接通过该域名来访问即可。

    如下图所示：

    使用域名来访问Kubernetes中的服务