Ingress az Azure Kubernetes Service-ben (AKS)

Az AKS Ingress egy Kubernetes-erőforrás, amely hozzáférést biztosít a külső HTTP-szerű forgalomhoz a fürtön belüli szolgáltatások számára. Az AKS-bemenők olyan szolgáltatásokat nyújthatnak, mint a terheléselosztás, az SSL leállítása és a névalapú virtuális üzemeltetés. A Kubernetes Ingressről további információt a Kubernetes Ingress dokumentációjában talál.

Bemeneti vezérlők

Az alkalmazásforgalom kezelésekor az Ingress bejövőforgalom-vezérlők speciális képességeket biztosítanak a 7. rétegen való működés által. A HTTP-forgalmat a bejövő URL-cím alapján különböző alkalmazásokhoz irányíthatják, így intelligensebb és rugalmasabb forgalomelosztási szabályokat tesznek lehetővé. A bejövőforgalom-vezérlők például az URL-útvonaltól függően különböző mikroszolgáltatásokba irányíthatják a forgalmat, ami növeli a szolgáltatások hatékonyságát és rendszerezését.

Másrészt egy LoadBalancer típusú szolgáltatás létrehozásakor beállít egy mögöttes Azure Load Balancer-erőforrást. Ez a terheléselosztó a 4. rétegben működik, és egy adott porton osztja el a forgalmat a szolgáltatás podjaihoz. A 4. rétegbeli szolgáltatások azonban nem ismerik a tényleges alkalmazásokat, és nem tudják implementálni az ilyen típusú összetett útválasztási szabályokat.

A két megközelítés közötti különbség megértése segít kiválasztani a forgalomkezelési igényeknek megfelelő eszközt.

Bejövő lehetőségek összehasonlítása

Az alábbi táblázat a különböző bejövőforgalom-vezérlők beállításai közötti funkcióbeli különbségeket sorolja fel:

Funkció	Alkalmazás-útválasztási bővítmény	Alkalmazási Átjáró Tárolókhoz	Azure Service Mesh/Istio-alapú szolgáltatásháló
Bejövő/átjáróvezérlő	NGINX bejövőforgalom-vezérlő	Azure Application Gateway tárolókhoz	Istio Ingressz Átjáró
API	Ingress API	Bejövő API és átjáró API	Istio Ingress API
Üzemeltetés	Fürtön belül	Azure-on hosztolt	Fürtön belül
Méretezés	Automatikus skálázás	Automatikus skálázás	Automatikus skálázás
Terheléselosztás	Belső/külső	Külső	Belső/külső
SSL-leállítás	Fürtön belül	Igen: Terhelés áthelyezése és E2E SSL	Fürtön belül
mTLS	n/a	Igen: előtér és háttérrendszer	n/a
Statikus IP-cím	n/a	FQDN	n/a
Az Azure Key Vault által tárolt SSL-tanúsítványok	Igen	Igen	n/a
Azure DNS-integráció a DNS-zónakezeléshez	Igen	Igen	n/a

Az alábbi táblázat felsorolja azokat a forgatókönyveket, amelyekben az egyes bejövőforgalom-vezérlőket használhatja:

Bejövő opció	Mikor érdemes használni?
Felügyelt NGINX – Alkalmazás-útválasztási bővítmény	• Fürtön belüli üzemeltetett, testre szabható és méretezhető NGINX bejövőforgalom-vezérlők. • Alapszintű terheléselosztási és útválasztási képességek. • Belső és külső terheléselosztó konfigurálása. • Statikus IP-címkonfiguráció. • Integráció az Azure Key Vaulttal a tanúsítványkezeléshez. • Integráció az Azure DNS-zónákkal a nyilvános és privát DNS-kezeléshez. • Támogatja az Ingress API-t.
Application Gateway konténerekhez	• Azure-beli bejövő átjáró. • A vezérlő által felügyelt rugalmas üzembehelyezési stratégiák, vagy saját Application Gateway for Containers használata. • Speciális forgalomkezelési funkciók, például az automatikus újratöltés, a rendelkezésre állási zónák rugalmassága, a háttércélhoz kölcsönös hitelesítés (mTLS), a forgalom felosztása / súlyozott körkiosztás és az automatikus skálázás. • Integráció az Azure Key Vaulttal a tanúsítványkezeléshez. • Integráció az Azure DNS-zónákkal a nyilvános és privát DNS-kezeléshez. • Támogatja a bejövő és az átjáró API-kat.
Istio Bejövő átjáró	• Az Envoy alkalmazása alapján, amikor az Istio-val használják egy szolgáltatási hálóban. • Haladó forgalomkezelési funkciók, mint például a forgalom korlátozása és a körmegszakítás. • Az mTLS támogatása

Megjegyzés

Az Istio bejövő forgalmának átjáró API-ja még nem támogatott az Istio kiegészítőhöz, de jelenleg aktív fejlesztés alatt áll.

Bejövő erőforrás létrehozása

Az alkalmazás-útválasztási bővítmény ajánlott módja egy bejövőforgalom-vezérlő konfigurálásának az AKS-ben. Az alkalmazás-útválasztási bővítmény az Azure Kubernetes Service (AKS) teljes körűen felügyelt bejövőforgalom-vezérlője, amely a következő funkciókat biztosítja:

• Felügyelt NGINX bejövőforgalom-vezérlők egyszerű konfigurálása Kubernetes NGINX bejövőforgalom-vezérlő alapján.

• Integráció az Azure DNS-sel a nyilvános és privát zónakezeléshez.

• SSL-leállítás az Azure Key Vaultban tárolt tanúsítványokkal.

További információ az alkalmazás-útválasztási bővítményről: Felügyelt NGINX-bejövő forgalom az alkalmazás-útválasztási bővítményrel.

Ügyfélforrás IP-címének megőrzése

Konfigurálja a bejövőforgalom-vezérlőt, hogy megőrizze az ügyfél forrás IP-címét az AKS-fürt tárolóinak kérései esetén. Amikor a bejövőforgalom-vezérlő átirányítja egy ügyfél kérését az AKS-fürt egy tárolójához, a kérés eredeti forrás IP-címe nem érhető el a céltároló számára. Ha engedélyezi az ügyfél forrás IP-címének megőrzését, az ügyfél forrás IP-címe az X-Forwarded-For kérelem fejlécében érhető el.

Ha ügyféloldali IP-címmegőrzést használ a bejövőforgalom-vezérlőn, nem használhat TLS-továbbítást. Az ügyfélforrás IP-címének megőrzése és a TLS-továbbítás más szolgáltatásokkal, például a LoadBalancer típusával is használható.

Az ügyfélforrás IP-címének megőrzésével kapcsolatos további információkért lásd : Hogyan működik az ügyfélforrás IP-megőrzése a LoadBalancer Servicesben az AKS-ben.