我在公共云(Azure/AWS/Google Cloud)上运行一个Kubernetes集群，有一些非HTTP服务我想要向用户暴露。
对于HTTP服务，我通常会使用Ingress资源通过可寻址的DNS条目将该服务公开。
针对非HTTP、基于TCP协议的服务（例如PostgreSQL数据库），我应该如何向公众公开这些服务呢？
我考虑使用NodePort服务，但这需要节点本身是公开可访问的（依赖kube-proxy路由到适当的节点）。如果可能的话，我希望避免这种情况。
LoadBalancer服务似乎是另一个选择，但我不想为我想要暴露的每个TCP服务创建专用的云负载均衡器。
我知道NGINX Ingress控制器支持公开TCP和UDP服务，但那似乎需要静态定义你想要公开的服务。对于我的用例，这些服务是动态创建和销毁的，因此无法事先在静态ConfigMap中定义这些服务映射。
initContainers:
- name: eip
image: docker.io/amazon/aws-cli:2.7.1
command:
- /bin/bash
- -xec
- |
INSTANCE_ID="$(curl http://169.254.169.254/latest/meta-data/instance-id)"
aws ec2 associate-address --allocation-id "$EIP_ALLOCATION_ID" --instance-id "$INSTANCE_ID"
env:
- name: EIP_ALLOCATION_ID
value: <your elastic IP allocation ID>
- name: AWS_REGION
value: <region>
- name: AWS_ACCESS_KEY_ID
valueFrom:
secretKeyRef:
name: aws-secret
key: accessKey
- name: AWS_SECRET_ACCESS_KEY
valueFrom:
secretKeyRef:
name: aws-secret
key: secretKey
containers:
- name: eip-sg
image: docker.io/amazon/aws-cli:2.7.1
command:
- /bin/bash
- -xec
- |
INSTANCE_ID=$(curl http://169.254.169.254/latest/meta-data/instance-id)
PRIVATE_IP="$(curl http://169.254.169.254/latest/meta-data/local-ipv4)"
for iface in $(curl http://169.254.169.254/latest/meta-data/network/interfaces/macs/); do
if curl "http://169.254.169.254/latest/meta-data/network/interfaces/macs/$iface/local-ipv4s" | grep -q "$PRIVATE_IP"; then
INTERFACE_FOR_IP="$(curl http://169.254.169.254/latest/meta-data/network/interfaces/macs/$iface/interface-id)"
fi
done
if [ -z "$INTERFACE_FOR_IP" ]; then
aws ec2 associate-address --allocation-id "$EIP_ALLOCATION_ID" --instance-id "$INSTANCE_ID"
else
aws ec2 associate-address --allocation-id "$EIP_ALLOCATION_ID" --network-interface-id "$INTERFACE_FOR_IP" --private-ip-address "$PRIVATE_IP"
fi
aws ec2 modify-instance-attribute --instance-id "$INSTANCE_ID" --groups $FULL_SECURITY_GROUPS
tail -f -s 10 /dev/null
lifecycle:
preStop:
exec:
command:
- /bin/bash
- -ec
- |
INSTANCE_ID=$(curl http://169.254.169.254/latest/meta-data/instance-id)
aws ec2 modify-instance-attribute --instance-id "$INSTANCE_ID" --groups $DEFAULT_SECURITY_GROUPS
env:
- name: EIP_ALLOCATION_ID
value: <your elastic IP allocation ID>
- name: DEFAULT_SECURITY_GROUPS
value: "<sg1> <sg2>"
- name: FULL_SECURITY_GROUPS
value: "<sg1> <sg2> <sg3>"
- name: AWS_REGION
value: <region>
- name: AWS_ACCESS_KEY_ID
valueFrom:
secretKeyRef:
name: aws-secret
key: accessKey
- name: AWS_SECRET_ACCESS_KEY
valueFrom:
secretKeyRef:
name: aws-secret
key: secretKey
您可能还需要将部署策略设置为Recreate，而不是默认的RollingUpdate，否则在使用kubectl rollout restart deployment ...重新启动部署时，容器command之后可能会调用lifecycle.preStop。
也许这个工作流可以帮助：
（我假设云提供商是AWS）
AWS 控制台：创建一个隔离的VPC，并创建您的Kubernetes ec2实例（或自动缩放组），禁用公共IP的创建。这使得无法通过Internet访问实例，但仍可以通过私有IP（例如，172.30.1.10）通过站点到站点VPN或通过同一VPC中具有公共IP的辅助ec2实例进行访问。
Kubernetes：创建一个具有固定节点端口的服务（例如，Postgres的35432）。
AWS 控制台：在您的节点所在的同一VPC内创建一个经典的Layer 4负载平衡器，在“侦听器”选项卡中打开端口35432（和其他可能需要的端口），通过“目标组”将其指向一个或多个节点。端口数量没有收费。