9.7. 在同一 IP 和后端上创建 HTTP 和 TLS 终止 HTTPS 负载均衡
当您想响应具有相同内容的 Web 客户端时,您可以在同一负载均衡器上配置非安全监听程序和 TLS 终止的 HTTPS 侦听器,无论客户端是否使用安全或不安全的 HTTP 协议连接。最好还要创建一个运行状况监视器,以确保您的后端成员仍然可用。
先决条件
- 可以从互联网访问的共享外部(public)子网。
TLS 公钥加密配置有以下特征:
- TLS 证书、密钥和可选中间证书链是从分配给负载均衡器 VIP 地址的 DNS 名称的外部证书颁发机构(CA)获取(例如 www.example.com)。
- 证书、密钥和中间证书链位于当前目录中的独立文件中。
- 密钥和证书是 PEM 编码的。
- 中间证书链包含多个使用 PEM 编码和串联的证书。
- 您已将负载均衡服务(octavia)配置为使用 Key Manager 服务(barbican)。如需更多信息,请参阅使用密钥管理器服务管理 secret 指南。
- 非安全 HTTP 侦听器配置与 HTTPS TLS 终止负载均衡器相同的池。
流程
将密钥(
server.key
)、证书(server.crt
)和中间证书链(ca-chain.crt
)合并到单个 PKCS12 文件(server.p12
)中。注意括号中的值是此流程中的示例命令中使用的示例值。使用适合您的站点的值替换这些示例值。
示例
$ openssl pkcs12 -export -inkey server.key -in server.crt \ -certfile ca-chain.crt -passout pass: -out server.p12
提供您的凭据文件。
示例
$ source ~/overcloudrc
使用 Key Manager 服务为 PKCS12 文件创建 secret 资源(
tls_secret1
)。示例
$ openstack secret store --name='tls_secret1' \ -t 'application/octet-stream' -e 'base64' \ --payload="$(base64 < server.p12)"
在公共子网(
public_subnet
)上创建一个负载平衡器(lb1
)。示例
$ openstack loadbalancer create --name lb1 \ --vip-subnet-id external_subnet --wait
创建 TERMINATED_HTTPS
侦听器(listener
1),并将机密资源引用为监听器的默认 TLS 容器。示例
$ openstack loadbalancer listener create --name listener1 \ --protocol-port 443 --protocol TERMINATED_HTTPS \ --default-tls-container=\ $(openstack secret list | awk '/ tls_secret1 / {print $2}') lb1
创建一个池(
pool1
),并使它成为监听器的默认池。示例
本例中的命令会创建一个 HTTP 池,它使用专用子网,其中包含在 TCP 端口 80 上托管非安全 HTTP 应用程序的后端服务器:
$ openstack loadbalancer pool create --name pool1 \ --lb-algorithm ROUND_ROBIN --listener listener1 --protocol HTTP
在池(
pool1
)上创建一个类型为(HTTP
)的运行状况监视器(healthmon1
),以连接到后端服务器并测试路径(/
)。建议使用健康检查,但不是必需的。如果没有定义运行状况监控器,则假定成员服务器为
ONLINE
。示例
$ openstack loadbalancer healthmonitor create --name healthmon1 \ --delay 15 --max-retries 4 --timeout 10 --type HTTP --url-path / pool1
将专用子网(
private_subnet
)上的非安全 HTTP 后端服务器(192.0.2.10
和192.0.2.11
)添加到池。示例
在本例中,后端服务器
192.0.2.10
和192.0.2.11
分别命名为member1
和member2
:$ openstack loadbalancer member create --name member1 --subnet-id \ private_subnet --address 192.0.2.10 --protocol-port 443 pool1 $ openstack loadbalancer member create --name member2 --subnet-id \ private_subnet --address 192.0.2.11 --protocol-port 443 pool1
创建非安全、HTTP 侦听器(
listener
2),并使其成为默认池,与安全监听程序相同。示例
$ openstack loadbalancer listener create --name listener2 \ --protocol-port 80 --protocol HTTP --default-pool pool1 lb1
验证
查看并验证负载均衡器(
lb1
)设置。示例
$ openstack loadbalancer show lb1
输出示例
+---------------------+--------------------------------------+ | Field | Value | +---------------------+--------------------------------------+ | admin_state_up | True | | created_at | 2022-01-15T11:11:09 | | description | | | flavor | | | id | 788fe121-3dec-4e1b-8360-4020642238b0 | | listeners | 09f28053-fde8-4c78-88b9-0f191d84120e | | name | lb1 | | operating_status | ONLINE | | pools | 627842b3-eed8-4f5f-9f4a-01a738e64d6a | | project_id | dda678ca5b1241e7ad7bf7eb211a2fd7 | | provider | amphora | | provisioning_status | ACTIVE | | updated_at | 2022-01-15T11:12:42 | | vip_address | 198.51.100.11 | | vip_network_id | 9bca13be-f18d-49a5-a83d-9d487827fd16 | | vip_port_id | 69a85edd-5b1c-458f-96f2-b4552b15b8e6 | | vip_qos_policy_id | None | | vip_subnet_id | 5bd7334b-49b3-4849-b3a2-b0b83852dba1 | +---------------------+--------------------------------------+
当健康监控器存在并正常运行时,您可以检查每个成员的状态。
示例
$ openstack loadbalancer member show pool1 member1
输出示例
工作成员(
member1)
在其operating_status
具有ONLINE
值:+---------------------+--------------------------------------+ | Field | Value | +---------------------+--------------------------------------+ | address | 192.0.2.10 | | admin_state_up | True | | created_at | 2022-01-15T11:11:09 | | id | b85c807e-4d7c-4cbd-b725-5e8afddf80d2 | | name | member1 | | operating_status | ONLINE | | project_id | dda678ca5b1241e7ad7bf7eb211a2fd7 | | protocol_port | 80 | | provisioning_status | ACTIVE | | subnet_id | 5bd7334b-49b3-4849-b3a2-b0b83852dba1 | | updated_at | 2022-01-15T11:12:42 | | weight | 1 | | monitor_port | None | | monitor_address | None | | backup | False | +---------------------+--------------------------------------+
其他资源
- 使用密钥管理器服务管理 secret 指南
- 命令行界面参考中的 LoadBalancer