6.5. 使用 SNI 创建 TLS 终止 HTTPS 负载均衡器

流程

1. 对于 SNI 列表中的每个 TLS 证书，将密钥(server.key)、证书(server.crt)和中间证书链(ca-chain.crt)组合成单个 PKCS12 文件(server.p12)。

   这这个示例中，您创建了两个 PKCS12 文件 (server.p12 和 server2.p12)，分别作为 www.example.com 和 www2.example.com 的证书。

   注意

   括号内的值是此流程中示例命令中使用的示例值。将这些示例值替换为适合您的站点的值。

   Example

   $ openssl pkcs12 -export -inkey server.key -in server.crt \
   -certfile ca-chain.crt -passout pass: -out server.p12
   
   $ openssl pkcs12 -export -inkey server2.key -in server2.crt \
   -certfile ca-chain2.crt -passout pass: -out server2.p12

2. 确认为您的云设置了系统 OS_CLOUD 变量：

   $ echo $OS_CLOUD
   my_cloud

   如果需要，重置变量：

   $ export OS_CLOUD=my_other_cloud

   作为替代方案，您可以在每次运行 openstack 命令时添加 --os-cloud <cloud_name > 选项指定云名称。

3. 使用 Key Manager 服务为 PKCS12 文件创建 secret 资源（tls_secret1 和 tls_secret2）。

   Example

   $ openstack secret store --name='tls_secret1' \
   -t 'application/octet-stream' -e 'base64' \
   --payload="$(base64 < server.p12)"
   
   $ openstack secret store --name='tls_secret2' \
   -t 'application/octet-stream' -e 'base64' \
   --payload="$(base64 < server2.p12)"

4. 在公共子网(public_subnet)上创建负载平衡器(lb1)。

   Example

   $ openstack loadbalancer create --name lb1 \
   --vip-subnet-id public_subnet --wait

5. 创建 TERMINATED_HTTPS侦听器(listener1)，并使用 SNI 来引用机密资源。

   （引用 tls_secret1 作为侦听器的默认 TLS 容器。）

   Example

   $ openstack loadbalancer listener create  --name listener1 \
   --protocol-port 443 --protocol TERMINATED_HTTPS \
   --default-tls-container=\
   $(openstack secret list | awk '/ tls_secret1 / {print $2}') \
   --sni-container-refs \
   $(openstack secret list | awk '/ tls_secret1 / {print $2}') \
   $(openstack secret list | awk '/ tls_secret2 / {print $2}') -- lb1

6. 创建池(pool1)，并使其成为侦听器的默认池。

   Example

   本例中命令会创建一个 HTTP 池，它使用一个专用子网，其中包含在 TCP 端口 80 上托管非安全 HTTP 应用程序的后端服务器：

   $ openstack loadbalancer pool create --name pool1 \
   --lb-algorithm ROUND_ROBIN --listener listener1 --protocol HTTP

7. 在池(pool1)上创建一个类型为(HTTP)的运行状况监视器(healthmon1)，以连接后端服务器并测试路径(/)。

   推荐使用健康检查，但不需要进行健康检查。如果没有定义运行状况监视器，则假定成员服务器为 ONLINE。

   Example

   $ openstack loadbalancer healthmonitor create --name healthmon1 \
   --delay 15 --max-retries 4 --timeout 10 --type HTTP --url-path / pool1

8. 将专用子网(private_subnet)上的非安全 HTTP 后端服务器（192.0.2.10 和 192.0.2.11）添加到池。

   Example

   在本例中，后端服务器 192.0.2.10 和 192.0.2.11 分别命名为 member1 和 member2 ：

   $ openstack loadbalancer member create --name member1 --subnet-id \
   private_subnet --address 192.0.2.10 --protocol-port 443 pool1
   
   $ openstack loadbalancer member create --name member2 --subnet-id \
   private_subnet --address 192.0.2.11 --protocol-port 443 pool1

验证

1. 查看并验证负载平衡器(lb1)设置。

   Example

   $ openstack loadbalancer show lb1

   输出示例

   +---------------------+--------------------------------------+
   | Field               | Value                                |
   +---------------------+--------------------------------------+
   | admin_state_up      | True                                 |
   | created_at          | 2024-01-15T11:11:09                  |
   | description         |                                      |
   | flavor              |                                      |
   | id                  | 788fe121-3dec-4e1b-8360-4020642238b0 |
   | listeners           | 09f28053-fde8-4c78-88b9-0f191d84120e |
   | name                | lb1                                  |
   | operating_status    | ONLINE                               |
   | pools               | 627842b3-eed8-4f5f-9f4a-01a738e64d6a |
   | project_id          | dda678ca5b1241e7ad7bf7eb211a2fd7     |
   | provider            | amphora                              |
   | provisioning_status | ACTIVE                               |
   | updated_at          | 2024-01-15T11:12:42                  |
   | vip_address         | 198.51.100.11                        |
   | vip_network_id      | 9bca13be-f18d-49a5-a83d-9d487827fd16 |
   | vip_port_id         | 69a85edd-5b1c-458f-96f2-b4552b15b8e6 |
   | vip_qos_policy_id   | None                                 |
   | vip_subnet_id       | 5bd7334b-49b3-4849-b3a2-b0b83852dba1 |
   +---------------------+--------------------------------------+

2. 当存在运行状况监控器并正常运行时，您可以检查每个成员的状态。

   Example

   $ openstack loadbalancer member show pool1 member1

   输出示例

   工作成员(member1)在其 operating_status 中有一个 ONLINE 值：

   +---------------------+--------------------------------------+
   | Field               | Value                                |
   +---------------------+--------------------------------------+
   | address             | 192.0.2.10                           |
   | admin_state_up      | True                                 |
   | created_at          | 2024-01-15T11:11:09                  |
   | id                  | b85c807e-4d7c-4cbd-b725-5e8afddf80d2 |
   | name                | member1                              |
   | operating_status    | ONLINE                               |
   | project_id          | dda678ca5b1241e7ad7bf7eb211a2fd7     |
   | protocol_port       | 80                                   |
   | provisioning_status | ACTIVE                               |
   | subnet_id           | 5bd7334b-49b3-4849-b3a2-b0b83852dba1 |
   | updated_at          | 2024-01-15T11:12:42                  |
   | weight              | 1                                    |
   | monitor_port        | None                                 |
   | monitor_address     | None                                 |
   | backup              | False                                |
   +---------------------+--------------------------------------+