8.6. 使用 HTTP/2 侦听程序创建 TLS 终止负载均衡器

流程

1. 将密钥(server.key)、证书(server.crt)和中间证书链(ca-chain.crt)组合成单个 PKCS12 文件(server.p12)。

   注意

   括号内的值是此流程中示例命令中使用的示例值。将这些示例值替换为适合您的站点的值。

   重要

   当您创建 PKCS12 文件时，请不要密码保护该文件。

   Example

   在本例中，PKCS12 文件在没有密码的情况下创建：

   $ openssl pkcs12 -export -inkey server.key -in server.crt \
   -certfile ca-chain.crt -passout pass: -out server.p12

   Copy to Clipboard Toggle word wrap

2. 使用 Key Manager 服务为 PKCS12 文件创建 secret 资源(tls_secret1)。

   Example

   $ openstack secret store --name='tls_secret1' \
   -t 'application/octet-stream' -e 'base64' \
   --payload="$(base64 < server.p12)"

   Copy to Clipboard Toggle word wrap

3. 确认为您的云设置了系统 OS_CLOUD 变量：

   $ echo $OS_CLOUD
   my_cloud

   Copy to Clipboard Toggle word wrap

   如果需要，重置变量：

   $ export OS_CLOUD=my_other_cloud

   Copy to Clipboard Toggle word wrap

   作为替代方案，您可以在每次运行 openstack 命令时添加 --os-cloud <cloud_name > 选项指定云名称。

4. 在公共子网(public_subnet)上创建负载平衡器(lb1)。

   Example

   $ openstack loadbalancer create --name lb1 --vip-subnet-id \
   public_subnet --wait

   Copy to Clipboard Toggle word wrap

5. 创建 TERMINATED_HTTPS 侦听器(listener1)并执行以下操作：

   • 引用机密资源(tls_secret1)，作为侦听器的默认 TLS 容器。
   • 设置 ALPN 协议(h2)。

   • 如果客户端不支持 HTTP/2 (http/1.1)，则设置回退协议。

     Example

     $ openstack loadbalancer listener create --name listener1 \
     --protocol-port 443 --protocol TERMINATED_HTTPS --alpn-protocol h2 \
     --alpn-protocol http/1.1 --default-tls-container=\
     $(openstack secret list | awk '/ tls_secret1 / {print $2}') lb1

     Copy to Clipboard Toggle word wrap

6. 创建池(pool1)，并使其成为侦听器的默认池。

   Example

   本例中的命令创建一个 HTTP 池，其中包含在 TCP 端口 80 上托管使用 Web 应用程序配置的 HTTP 应用程序的后端服务器：

   $ openstack loadbalancer pool create --name pool1 \
   --lb-algorithm ROUND_ROBIN --listener listener1 --protocol HTTP

   Copy to Clipboard Toggle word wrap

7. 在连接到后端服务器的池(pool1)上创建一个类型为(TCP)的运行状况监控器(healthmon1)。

   健康检查有助于避免误报。如果没有定义运行状况监视器，则假定成员服务器为 ONLINE。

   Example

   $ openstack loadbalancer healthmonitor create --name healthmon1 \
   --delay 15  --max-retries 4 --timeout 10 --type TCP pool1

   Copy to Clipboard Toggle word wrap

8. 将专用子网(private_subnet)上的 HTTP 后端服务器(192.0.2.10 和 192.0.2.11)添加到池。

   Example

   在本例中，后端服务器 192.0.2.10 和 192.0.2.11 分别命名为 member1 和 member2 ：

   $ openstack loadbalancer member create --name member1 --subnet-id \
   private_subnet --address 192.0.2.10 --protocol-port 80 pool1
   
   $ openstack loadbalancer member create --name member2 --subnet-id \
   private_subnet --address 192.0.2.11 --protocol-port 80 pool1

   Copy to Clipboard Toggle word wrap

验证

1. 查看并验证负载平衡器(lb1)设置。

   Example

   $ openstack loadbalancer status show lb1

   Copy to Clipboard Toggle word wrap

   输出示例

   {
       "loadbalancer": {
           "id": "936dad29-4c3f-4f24-84a8-c0e6f10ed810",
           "name": "lb1",
           "operating_status": "ONLINE",
           "provisioning_status": "ACTIVE",
           "listeners": [
               {
                   "id": "708b82c6-8a6b-4ec1-ae53-e619769821d4",
                   "name": "listener1",
                   "operating_status": "ONLINE",
                   "provisioning_status": "ACTIVE",
                   "pools": [
                       {
                           "id": "5ad7c678-23af-4422-8edb-ac3880bd888b",
                           "name": "pool1",
                           "provisioning_status": "ACTIVE",
                           "operating_status": "ONLINE",
                           "health_monitor": {
                               "id": "4ad786ef-6661-4e31-a325-eca07b2b3dd1",
                               "name": "healthmon1",
                               "type": "TCP",
                               "provisioning_status": "ACTIVE",
                               "operating_status": "ONLINE"
                           },
                           "members": [
                               {
                                   "id": "facca0d3-61a7-4b46-85e8-da6994883647",
                                   "name": "member1",
                                   "operating_status": "ONLINE",
                                   "provisioning_status": "ACTIVE",
                                   "address": "192.0.2.10",
                                   "protocol_port": 80
                               },
                               {
                                   "id": "2b0d9e0b-8e0c-48b8-aa57-90b2fde2eae2",
                                   "name": "member2",
                                   "operating_status": "ONLINE",
                                   "provisioning_status": "ACTIVE",
                                   "address": "192.0.2.11",
                                   "protocol_port": 80
                               }
   ...

   Copy to Clipboard Toggle word wrap

2. 当存在运行状况监控器并正常运行时，您可以检查每个成员的状态。

   Example

   $ openstack loadbalancer member show pool1 member1

   Copy to Clipboard Toggle word wrap

   输出示例

   工作成员(member1)在其 operating_status 中有一个 ONLINE 值：

   +---------------------+--------------------------------------+
   | Field               | Value                                |
   +---------------------+--------------------------------------+
   | address             | 192.0.2.10                           |
   | admin_state_up      | True                                 |
   | created_at          | 2024-08-16T20:08:01                  |
   | id                  | facca0d3-61a7-4b46-85e8-da6994883647 |
   | name                | member1                              |
   | operating_status    | ONLINE                               |
   | project_id          | 9b29c91f67314bd09eda9018616851cf     |
   | protocol_port       | 80                                   |
   | provisioning_status | ACTIVE                               |
   | subnet_id           | 3b459c95-64d2-4cfa-b348-01aacc4b3fa9 |
   | updated_at          | 2024-08-16T20:25:42                  |
   | weight              | 1                                    |
   | monitor_port        | None                                 |
   | monitor_address     | None                                 |
   | backup              | False                                |
   | tags                |                                      |
   +---------------------+--------------------------------------+

   Copy to Clipboard Toggle word wrap