Ingress Controller 和之前所讲的DaemonSet 、Deployment等不同，Ingress Controller不是Controller Manager中的一部分，他只是一个或一组独立的Pod资源，他通常就是一个运行着有七层代理能力或调度能力的应用，比如：NGINX、HAproxy、Traefik、Envoy

之前所讲到的Service他的工作原理是基于iptables或ipvs的，iptables和ipvs是四层代理的，四层代理有个缺陷就是他只是工作在tcp/ip协议栈。

如果外部请求是HTTPS的请求，Service是无法调度的。如果构建在内部的服务是HTTP，还希望用Service调度的话，那么证书和私钥的配置问题就来了。

外部解析一般是基于域名解析，解析到的地址也是调度器的地址，而sso会话是和后端服务器建立的连接，那么就应该在每一台后端服务器都配置证书。

SSO既贵又慢，如果我们认为内部网络是安全的，就可以在接入层就卸载SSO会话，外部使用HTTPS通信，而内部使用HTTP通信。所以要换一种调度方式
在Kubernetes中采用一种独特的方式实现。

在提供服务的pod之前再加一层，后端pod就采用明文的HTTP，中间加的那层调度器Pod运行一个七层的应用比如NGINX、HAproxy、Traefik、Envoy当用户请求时，先到达这个独特的调度器，而不是直接到达后端的Pod，Pod和Pod之间由于是在同一网段可以直接通信，无需经过Service。

这个Pod就叫做Ingress Controller。假如我们有三个节点，那么可以使用DaemonSet在每个节点之上都部署一个Ingress Controller，但是如果有3000个节点呢？
DaemonSet不止可在每个节点上部署一个Pod副本，还可以在指定的节点上部署一个Pod副本，那么我们就可以单独拿出来几个几点作为ingress Controller的专用节点，把专用节点打上污点，让其他Pod都调度不上来，只有DaemonSet定义的ingress可以在此之上部署，并且能容忍污点。

试想一种场景：

当Ingress Controller调度不止一个Web服务的时候，我可以采用基于主机名的Virtual Host或URL映射的方式，但是当无状态的后端被Kill或增加减少的时候，Pod IP地址必然发生变化，这时候Ingress Controller是如何跟着做动态的变更呢？

答案是 Ingress Controller仍需要借助Service的Selector功能帮助分类，关联着后端所有符合条件的Pod，当上述情况发生时，他会将变化反映至Ingress资源，（注意Ingress资源和Ingress Controller是两个概念。）再由Ingress资源把变化信息注入到Ingress Controller的配置文件中（非常方便），进而触发Ingress Controller重载配置文件的动作。

image.png

具体搭建步骤

配置一个Ingress Controller

1 · 创建一个名称空间
kubectl create namespace ingress-nginx
2 · 创建一个configmap （用于配置文件注入）
3 · 配置rbac用于创建集群角色，权限控制，为Ingress Controller提供他到达不了的namespace的权限
4 · with-rbac
5 · tcp-service
以上配置文件都可以到GitHub中Kubernetes官方站点的Ingress-Nginx的deploy文件夹下获取
如果GitHub下载太慢可以选择需要的文件下载

image.png

image.png

image.png

※※另一种简便部署Ingress Controller的办法

kubectl apply -f https://raw.githubusercontent.com/kubernetes/ingress-nginx/nginx-0.30.0/deploy/static/mandatory.yaml
效果和以上是一样的，参考官网(需要翻墙)
https://kubernetes.github.io/ingress-nginx/

为确保Ingress Controller能够接入外部流量第一种做法是为他添加一个类型为NodePort的Service，根据官网介绍 命令为
kubectl apply -f https://raw.githubusercontent.com/kubernetes/ingress-nginx/nginx-0.30.0/deploy/static/provider/baremetal/service-nodeport.yaml

而另一种做法是将Ingress Controller与宿主机共享网络名称空间，并且要确保宿主机的80和443端口没有被占用，因为Ingress Controller要监听这两个端口。

由于官方给的配置文件端口是随机的，建议下载下来手动指定端口30080和30443

此时在外部节点访问NodeIp：30080应该可以显示404回显， 代表Ingress Controller已经配通，显示default backend 404 是因为后端的规则还没有写，接下来开始配置Ingress。

创建 Ingress

创建之前应先创建后端被调度的Pod及Service

image.png

把刚刚创建好的myapp通过Ingress发布出去，注意apiVersion比较独特。

image.png

创建好之后，便将生成好的配置文件立即注入到Ingress Controller中了

image.png

image.png

image.png

image.png

拓展

在此Ingress Controller上我们尝试再调度一个web，此次并且是HTTPS的Tomcat
首先部署三个Tomcat并配置一个Service

image.png

因为此次要做个通过HTTPS访问的TOMCAT，所以我们要先做一个证书 ，并且转换成K8s能够识别的格式

image.png

再做一个Ingress

image.png

应用配置文件后返回到Ingress Controller看nginx.conf配置文件，已经可以看到证书已被应用。

image.png

image.png