Cilium项目中基于Kubernetes Gateway API实现TLS迁移的实践指南

最新推荐文章于 2025-08-06 13:30:14 发布

费津钊Bobbie

最新推荐文章于 2025-08-06 13:30:14 发布

阅读量895

点赞数 9

CC 4.0 BY-SA版权

本文链接：https://blog.csdn.net/gitblog_00651/article/details/148362388

Cilium项目中基于Kubernetes Gateway API实现TLS迁移的实践指南

前言

在现代云原生架构中，安全通信和流量管理是两个至关重要的方面。Cilium作为基于eBPF技术的高性能网络和安全解决方案，提供了强大的Kubernetes Gateway API实现。本文将深入解析如何利用Cilium的Gateway功能实现TLS加密通信的迁移配置。

Gateway API基础概念

Gateway API是Kubernetes官方提供的下一代Ingress标准，相比传统Ingress提供了更丰富的功能和更细粒度的控制。Cilium作为CNI插件实现了这一API，允许用户通过声明式配置管理集群入口流量。

TLS迁移场景解析

示例配置展示了一个典型的TLS迁移场景，其中包含两个主要部分：

Gateway资源定义：配置了HTTP和HTTPS监听器
HTTPRoute资源定义：配置了基于路径的路由规则

这种架构允许服务同时支持HTTP和HTTPS访问，为TLS迁移提供了平滑过渡的可能性。

配置详解

Gateway资源配置

apiVersion: gateway.networking.k8s.io/v1
kind: Gateway
metadata:
  name: cilium-gateway
  namespace: default
spec:
  gatewayClassName: cilium
  listeners:
  - hostname: hipstershop.cilium.rocks
    name: hipstershop-cilium-rocks-http
    port: 80
    protocol: HTTP
  - hostname: hipstershop.cilium.rocks
    name: hipstershop-cilium-rocks-https
    port: 443
    protocol: HTTPS
    tls:
      certificateRefs:
      - kind: Secret
        name: demo-cert

关键配置点：

gatewayClassName: cilium 指定使用Cilium提供的Gateway实现
为同一主机名配置了HTTP(80)和HTTPS(443)两个监听器
HTTPS监听器引用了名为demo-cert的Secret作为TLS证书

HTTPRoute资源配置

apiVersion: gateway.networking.k8s.io/v1
kind: HTTPRoute
metadata:
  name: hipstershop-cilium-rocks
  namespace: default
spec:
  hostnames:
  - hipstershop.cilium.rocks
  parentRefs:
  - name: cilium-gateway
  rules:
  - matches:
    - path:
        type: PathPrefix
        value: /hipstershop.ProductCatalogService
    backendRefs:
    - name: productcatalogservice
      port: 3550

路由规则特点：