第 8 章 OpenShift Container Platform 中的 Ingress 分片

在 OpenShift Container Platform 中，Ingress Controller 可以服务所有路由，也可以提供路由的子集。默认情况下，Ingress Controller 提供集群中任何命名空间中创建的任何路由。您可以在集群中添加额外的 Ingress Controller，以通过创建 分片来优化路由，这些分片是基于所选特征的路由子集。要将路由标记为分片的成员，请使用 route 或 namespace metadata 字段中的标签。Ingress Controller 使用选择器 （也称为 选择表达式 ）从要提供服务的整个路由池中选择路由子集。

当您希望在多个 Ingress Controller 之间负载平衡传入的流量时，当您要隔离到特定 Ingress Controller 的流量或下一部分中描述的各种其他原因时，Ingress 分片很有用。

默认情况下，每个路由都使用集群的默认域。但是，可以将路由配置为使用路由器的域。如需更多信息，请参阅为 Ingress Controller 创建路由。

8.1. Ingress Controller 分片

您可以通过向路由、命名空间或两者添加标签，使用 Ingress 分片（也称为路由器分片）在多个路由器之间分发一组路由。Ingress Controller 使用一组对应的选择器来只接受具有指定标签的路由。每个 Ingress 分片都由使用给定选择表达式过滤的路由组成。

Ingress Controller 是网络流量进入集群的主要机制，因此对它们的需求可能非常大。作为集群管理员，您可以对路由进行分片，以达到以下目的：

  • 在 Ingress Controller 或路由器与一些路由之间实现平衡，由此加快对变更的响应。
  • 分配特定的路由，使其具有不同于其它路由的可靠性保证。
  • 允许特定的 Ingress Controller 定义不同的策略。
  • 只允许特定的路由使用其他功能。
  • 在不同的地址上公开不同的路由，例如使内部和外部用户能够看到不同的路由。
  • 在蓝绿部署期间，将流量从应用的一个版本转移到另一个版本。

当 Ingress Controller 被分片时，一个给定路由被接受到组中的零个或多个 Ingress Controller。路由的状态描述了 Ingress Controller 是否已接受它。只有 Ingress Controller 对其分片是唯一的时，才会接受路由。

Ingress Controller 可以使用三个分片方法：

  • 仅将命名空间选择器添加到 Ingress Controller，以便命名空间中带有与命名空间选择器匹配的标签的所有路由都位于 Ingress shard 中。
  • 只向 Ingress Controller 添加路由选择器，因此所有与路由选择器匹配的标签的路由都位于 Ingress 分片中。
  • 将命名空间选择器和路由选择器添加到 Ingress Controller 中，以便使用与命名空间选择器匹配的路由选择器匹配的标签的路由位于 Ingress shard 中。

使用分片，您可以在多个 Ingress Controller 上分发路由子集。这些子集可以是非重叠的，也称为 传统 分片，或是重叠的，也称为 overlapped 分片。

8.1.1. 传统分片示例

Ingress Controller finops-router 使用标签选择器 spec.namespaceSelector.matchLabels.name 设置为 finance 和 ops ：

finops-router 的 YAML 定义示例

apiVersion: operator.openshift.io/v1
kind: IngressController
metadata:
  name: finops-router
  namespace: openshift-ingress-operator
spec:
  namespaceSelector:
    matchLabels:
      name:
        - finance
        - ops

第二个 Ingress Controller dev-router 配置有标签选择器 spec.namespaceSelector.matchLabels.name 设置为 dev ：

dev-router 的 YAML 定义示例

apiVersion: operator.openshift.io/v1
kind: IngressController
metadata:
  name: dev-router
  namespace: openshift-ingress-operator
spec:
  namespaceSelector:
    matchLabels:
      name: dev

如果所有应用程序路由都位于单独的命名空间中，每个命名空间都分别使用 name:finance、name:ops 和 name:dev 标记，此配置会在两个 Ingress Controller 之间有效分发您的路由。不应处理用于控制台、身份验证和其他目的的 OpenShift Container Platform 路由。

在上面的场景中，分片成为分区的一种特殊情况，没有重叠的子集。路由在路由器分片之间划分。

警告

默认 Ingress Controller 继续提供所有路由，除非 namespaceSelector 或 routeSelector 字段包含用于排除的路由。有关如何从默认 Ingress Controller 中排除路由的更多信息，请参阅这个 红帽知识库解决方案 和"分片默认 Ingress Controller"。

8.1.2. 重叠的分片示例

除了上例中的 finops-router 和 dev-router 外，您也具有 devops-router，它被配置为标签选择器 spec.namespaceSelector.matchLabels.name，设置为 dev 和 ops ：

devops-router 的 YAML 定义示例

apiVersion: operator.openshift.io/v1
kind: IngressController
metadata:
  name: devops-router
  namespace: openshift-ingress-operator
spec:
  namespaceSelector:
    matchLabels:
      name:
        - dev
        - ops

标签为 name:dev 和 name:ops 的命名空间中的路由现在由两个不同的 Ingress Controller 服务。使用这个配置，您有重叠的路由子集。

通过重叠的路由子集，您可以创建更复杂的路由规则。例如，您可以在向 devops-router 发送较低优先级的流量时，将优先级更高的流量放入专用的 finops-router。

8.1.3. 分片默认 Ingress Controller

创建新的 Ingress shard 后，可能会接受到默认 Ingress Controller 接受的新 Ingress 分片的路由。这是因为默认 Ingress Controller 没有选择器，并默认接受所有路由。

您可以使用命名空间选择器或路由选择器来限制 Ingress Controller 使用特定标签提供路由。以下流程限制默认 Ingress Controller，使用命名空间选择器为新分片的 finance、ops 和 dev 提供。这为 Ingress 分片增加了额外的隔离。

重要

您必须在同一 Ingress Controller 上保留所有 OpenShift Container Platform 管理路由。因此，避免在排除这些基本路由的默认 Ingress Controller 中添加额外的选择器。

先决条件

  • 已安装 OpenShift CLI（oc）。
  • 您以项目管理员身份登录。

流程

  1. 运行以下命令来修改默认 Ingress Controller： 

    $ oc edit ingresscontroller -n openshift-ingress-operator default

  2. 编辑 Ingress Controller 以包含一个 namespaceSelector，它排除了任何 finance、ops 和 dev 标签的路由： 

    apiVersion: operator.openshift.io/v1
kind: IngressController
metadata:
  name: default
  namespace: openshift-ingress-operator
spec:
  namespaceSelector:
    matchExpressions:
      - key: type
        operator: NotIn
        values:
          - finance
          - ops
          - dev

默认 Ingress Controller 不再提供标记为 name:finance、name:ops 和 name:dev 的命名空间。

8.1.4. Ingress 分片和 DNS

集群管理员负责为项目中的每个路由器生成单独的 DNS 条目。路由器不会将未知路由转发到另一个路由器。

考虑以下示例：

  • 路由器 A 驻留在主机 192.168.0.5 上，并且具有 *.foo.com 的路由。
  • 路由器 B 驻留在主机 192.168.1.9 上，并且具有 *.example.com 的路由。

单独的 DNS 条目必须将 *.foo.com 解析为托管 Router A 和 *.example.com 的节点到托管路由器 B 的节点：

  • *.foo.com A IN 192.168.0.5
  • *.example.com A IN 192.168.1.9

8.1.5. 通过路由标签（label）配置 Ingress Controller 分片

使用路由标签进行 Ingress Controller 分片，意味着 Ingress Controller 提供由路由选择器选择的任意命名空间中的所有路由。

图 8.1. 使用路由标签进行 Ingress 分片

显示带有不同路由选择器的多个 Ingress Controller 的图，它包括了与给定路由选择器匹配的标签，而不考虑路由所属的命名空间

在一组 Ingress Controller 之间平衡传入的流量负载时，以及在将流量隔离到特定 Ingress Controller 时，Ingress Controller 分片会很有用处。例如，A 公司的流量使用一个 Ingress Controller，B 公司的流量则使用另外一个 Ingress Controller。

流程

  1. 编辑 router-internal.yaml 文件： 

    # cat router-internal.yaml
apiVersion: operator.openshift.io/v1
kind: IngressController
metadata:
  name: sharded
  namespace: openshift-ingress-operator
spec:
  domain: <apps-sharded.basedomain.example.net> 1
  nodePlacement:
    nodeSelector:
      matchLabels:
        node-role.kubernetes.io/worker: ""
  routeSelector:
    matchLabels:
      type: sharded
    1
    指定 Ingress Controller 使用的域。此域必须与默认 Ingress Controller 域不同。

  2. 应用 Ingress Controller router-internal.yaml 文件： 

    # oc apply -f router-internal.yaml

    Ingress Controller 选择具有 type: sharded 标签的任意命名空间中的路由。

  3. 使用 router-internal.yaml 中配置的域创建新路由： 

    $ oc expose svc <service-name> --hostname <route-name>.apps-sharded.basedomain.example.net

8.1.6. 使用命名空间标签配置 Ingress Controller 分片

使用命名空间标签进行 Ingress Controller 分片，意味着 Ingress Controller 提供由命名空间选择器选择的任意命名空间中的所有路由。

图 8.2. 使用命名空间标签进行 Ingress 分片

显示多个具有不同命名空间选择器服务路由的 Ingress Controller，这些路由属于命名空间，包含与给定命名空间选择器匹配的标签

在一组 Ingress Controller 之间平衡传入的流量负载时，以及在将流量隔离到特定 Ingress Controller 时，Ingress Controller 分片会很有用处。例如，A 公司的流量使用一个 Ingress Controller，B 公司的流量则使用另外一个 Ingress Controller。

流程

  1. 编辑 router-internal.yaml 文件： 

    # cat router-internal.yaml

    输出示例

    apiVersion: operator.openshift.io/v1
kind: IngressController
metadata:
  name: sharded
  namespace: openshift-ingress-operator
spec:
  domain: <apps-sharded.basedomain.example.net> 1
  nodePlacement:
    nodeSelector:
      matchLabels:
        node-role.kubernetes.io/worker: ""
  namespaceSelector:
    matchLabels:
      type: sharded

    1
    指定 Ingress Controller 使用的域。此域必须与默认 Ingress Controller 域不同。

  2. 应用 Ingress Controller router-internal.yaml 文件： 

    # oc apply -f router-internal.yaml

    Ingress Controller 选择由命名空间选择器选择的具有 type: sharded 标签的任意命名空间中的路由。

  3. 使用 router-internal.yaml 中配置的域创建新路由： 

    $ oc expose svc <service-name> --hostname <route-name>.apps-sharded.basedomain.example.net