搜索

9.7. 在同一 IP 和后端上创建 HTTP 和 TLS 终止 HTTPS 负载均衡

download PDF

当您想响应具有相同内容的 Web 客户端时,您可以在同一负载均衡器上配置非安全监听程序和 TLS 终止的 HTTPS 侦听器,无论客户端是否使用安全或不安全的 HTTP 协议连接。最好还要创建一个运行状况监视器,以确保您的后端成员仍然可用。

先决条件

  • 可以从互联网访问的共享外部(public)子网。
  • TLS 公钥加密配置有以下特征:

    • TLS 证书、密钥和可选中间证书链是从分配给负载均衡器 VIP 地址的 DNS 名称的外部证书颁发机构(CA)获取(例如 www.example.com)。
    • 证书、密钥和中间证书链位于当前目录中的独立文件中。
    • 密钥和证书是 PEM 编码的。
    • 中间证书链包含多个使用 PEM 编码和串联的证书。
  • 您已将负载均衡服务(octavia)配置为使用 Key Manager 服务(barbican)。如需更多信息,请参阅使用密钥管理器服务管理 secret 指南。
  • 非安全 HTTP 侦听器配置与 HTTPS TLS 终止负载均衡器相同的池。

流程

  1. 将密钥(server.key)、证书(server.crt)和中间证书链(ca-chain.crt)合并到单个 PKCS12 文件(server.p12)中。

    注意

    括号中的值是此流程中的示例命令中使用的示例值。使用适合您的站点的值替换这些示例值。

    示例

    $ openssl pkcs12 -export -inkey server.key -in server.crt \
    -certfile ca-chain.crt -passout pass: -out server.p12

  2. 提供您的凭据文件。

    示例

    $ source ~/overcloudrc

  3. 使用 Key Manager 服务为 PKCS12 文件创建 secret 资源(tls_secret1)。

    示例

    $ openstack secret store --name='tls_secret1' \
    -t 'application/octet-stream' -e 'base64' \
    --payload="$(base64 < server.p12)"

  4. 在公共子网(public_subnet)上创建一个负载平衡器(lb1)。

    示例

    $ openstack loadbalancer create --name lb1 \
    --vip-subnet-id external_subnet --wait

  5. 创建 TERMINATED_HTTPS侦听器(listener1),并将机密资源引用为监听器的默认 TLS 容器。

    示例

    $ openstack loadbalancer listener create --name listener1 \
    --protocol-port 443 --protocol TERMINATED_HTTPS \
    --default-tls-container=\
    $(openstack secret list | awk '/ tls_secret1 / {print $2}') lb1

  6. 创建一个池(pool1),并使它成为监听器的默认池。

    示例

    本例中的命令会创建一个 HTTP 池,它使用专用子网,其中包含在 TCP 端口 80 上托管非安全 HTTP 应用程序的后端服务器:

    $ openstack loadbalancer pool create --name pool1 \
    --lb-algorithm ROUND_ROBIN --listener listener1 --protocol HTTP
  7. 在池(pool1)上创建一个类型为(HTTP)的运行状况监视器(healthmon1),以连接到后端服务器并测试路径(/)。

    建议使用健康检查,但不是必需的。如果没有定义运行状况监控器,则假定成员服务器为 ONLINE

    示例

    $ openstack loadbalancer healthmonitor create --name healthmon1 \
    --delay 15 --max-retries 4 --timeout 10 --type HTTP --url-path / pool1

  8. 将专用子网(private_subnet)上的非安全 HTTP 后端服务器(192.0.2.10192.0.2.11)添加到池。

    示例

    在本例中,后端服务器 192.0.2.10192.0.2.11 分别命名为 member1member2

    $ openstack loadbalancer member create --name member1 --subnet-id \
    private_subnet --address 192.0.2.10 --protocol-port 443 pool1
    
    $ openstack loadbalancer member create --name member2 --subnet-id \
    private_subnet --address 192.0.2.11 --protocol-port 443 pool1
  9. 创建非安全、HTTP 侦听器(listener2),并使其成为默认池,与安全监听程序相同。

    示例

    $ openstack loadbalancer listener create --name listener2 \
    --protocol-port 80 --protocol HTTP --default-pool pool1 lb1

验证

  1. 查看并验证负载均衡器(lb1)设置。

    示例

    $ openstack loadbalancer show lb1

    输出示例

    +---------------------+--------------------------------------+
    | Field               | Value                                |
    +---------------------+--------------------------------------+
    | admin_state_up      | True                                 |
    | created_at          | 2022-01-15T11:11:09                  |
    | description         |                                      |
    | flavor              |                                      |
    | id                  | 788fe121-3dec-4e1b-8360-4020642238b0 |
    | listeners           | 09f28053-fde8-4c78-88b9-0f191d84120e |
    | name                | lb1                                  |
    | operating_status    | ONLINE                               |
    | pools               | 627842b3-eed8-4f5f-9f4a-01a738e64d6a |
    | project_id          | dda678ca5b1241e7ad7bf7eb211a2fd7     |
    | provider            | amphora                              |
    | provisioning_status | ACTIVE                               |
    | updated_at          | 2022-01-15T11:12:42                  |
    | vip_address         | 198.51.100.11                        |
    | vip_network_id      | 9bca13be-f18d-49a5-a83d-9d487827fd16 |
    | vip_port_id         | 69a85edd-5b1c-458f-96f2-b4552b15b8e6 |
    | vip_qos_policy_id   | None                                 |
    | vip_subnet_id       | 5bd7334b-49b3-4849-b3a2-b0b83852dba1 |
    +---------------------+--------------------------------------+

  2. 当健康监控器存在并正常运行时,您可以检查每个成员的状态。

    示例

    $ openstack loadbalancer member show pool1 member1

    输出示例

    工作成员(member1)在其 operating_status 具有 ONLINE 值:

    +---------------------+--------------------------------------+
    | Field               | Value                                |
    +---------------------+--------------------------------------+
    | address             | 192.0.2.10                           |
    | admin_state_up      | True                                 |
    | created_at          | 2022-01-15T11:11:09                  |
    | id                  | b85c807e-4d7c-4cbd-b725-5e8afddf80d2 |
    | name                | member1                              |
    | operating_status    | ONLINE                               |
    | project_id          | dda678ca5b1241e7ad7bf7eb211a2fd7     |
    | protocol_port       | 80                                   |
    | provisioning_status | ACTIVE                               |
    | subnet_id           | 5bd7334b-49b3-4849-b3a2-b0b83852dba1 |
    | updated_at          | 2022-01-15T11:12:42                  |
    | weight              | 1                                    |
    | monitor_port        | None                                 |
    | monitor_address     | None                                 |
    | backup              | False                                |
    +---------------------+--------------------------------------+

其他资源

Red Hat logoGithubRedditYoutubeTwitter

学习

尝试、购买和销售

社区

关于红帽文档

通过我们的产品和服务,以及可以信赖的内容,帮助红帽用户创新并实现他们的目标。

让开源更具包容性

红帽致力于替换我们的代码、文档和 Web 属性中存在问题的语言。欲了解更多详情,请参阅红帽博客.

關於紅帽

我们提供强化的解决方案,使企业能够更轻松地跨平台和环境(从核心数据中心到网络边缘)工作。

© 2024 Red Hat, Inc.