9.4. 创建 TLS 终止的 HTTPS 负载均衡器
当您使用 TLS 终止的 HTTPS 负载均衡器时,您可以将 CPU 密集型加密操作卸载到负载均衡器,并允许负载均衡器使用第 7 层检查等高级功能。最好还要创建一个运行状况监视器,以确保您的后端成员仍然可用。
先决条件
- 可以从互联网访问的共享外部(public)子网。
TLS 公钥加密配置有以下特征:
-
TLS 证书、密钥和中间证书链从分配给负载均衡器 VIP 地址的 DNS 名称的外部证书颁发机构(CA)获取,例如
www.example.com
。 - 证书、密钥和中间证书链位于当前目录中的独立文件中。
- 密钥和证书是 PEM 编码的。
- 中间证书链包含多个使用 PEM 编码和串联的证书。
-
TLS 证书、密钥和中间证书链从分配给负载均衡器 VIP 地址的 DNS 名称的外部证书颁发机构(CA)获取,例如
- 您必须配置负载均衡服务(octavia)以使用 Key Manager 服务(barbican)。如需更多信息,请参阅使用密钥管理器服务管理 secret 指南。
流程
将密钥(
server.key
)、证书(server.crt
)和中间证书链(ca-chain.crt
)合并到单个 PKCS12 文件(server.p12
)中。注意括号中的值是此流程中的示例命令中使用的示例值。使用适合您的站点的值替换这些示例值。
示例
$ openssl pkcs12 -export -inkey server.key -in server.crt \ -certfile ca-chain.crt -passout pass: -out server.p12
注意如果您的密码保护 PKCS12 文件,则以下步骤无法正常工作。
提供您的凭据文件。
示例
$ source ~/overcloudrc
使用 Key Manager 服务为 PKCS12 文件创建 secret 资源(
tls_secret1
)。示例
$ openstack secret store --name='tls_secret1' \ -t 'application/octet-stream' -e 'base64' \ --payload="$(base64 < server.p12)"
在公共子网(
public_subnet
)上创建一个负载平衡器(lb1
)。示例
$ openstack loadbalancer create --name lb1 \ --vip-subnet-id public_subnet --wait
创建
TERMINATED_HTTPS
侦听器(listener
1),并将机密资源引用为监听器的默认 TLS 容器。示例
$ openstack loadbalancer listener create --protocol-port 443 \ --protocol TERMINATED_HTTPS \ --default-tls-container=\ $(openstack secret list | awk '/ tls_secret1 / {print $2}') lb1
创建一个池(
pool1
),并使它成为监听器的默认池。示例
本例中的命令会创建一个 HTTP 池,它使用专用子网,其中包含在 TCP 端口 80 上托管非安全 HTTP 应用程序的后端服务器:
$ openstack loadbalancer pool create --name pool1 --lb-algorithm ROUND_ROBIN --listener listener1 --protocol HTTP
在池(
pool1
)上创建一个类型为(HTTP
)的运行状况监视器(healthmon1
),以连接到后端服务器并测试路径(/
)。建议使用健康检查,但不是必需的。如果没有定义运行状况监控器,则假定成员服务器为
ONLINE
。示例
$ openstack loadbalancer healthmonitor create --name healthmon1 \ --delay 15 --max-retries 4 --timeout 10 --type HTTP --url-path / pool1
将专用子网(
private_subnet
)上的非安全 HTTP 后端服务器(192.0.2.10
和192.0.2.11
)添加到池。示例
在本例中,后端服务器
192.0.2.10
和192.0.2.11
分别命名为member1
和member2
:$ openstack loadbalancer member create --name member1 --subnet-id \ private_subnet --address 192.0.2.10 --protocol-port 443 pool1 $ openstack loadbalancer member create --name member2 --subnet-id \ private_subnet --address 192.0.2.11 --protocol-port 443 pool1
验证
查看并验证负载均衡器(
lb1
)设置。示例
$ openstack loadbalancer show lb1
输出示例
+---------------------+--------------------------------------+ | Field | Value | +---------------------+--------------------------------------+ | admin_state_up | True | | created_at | 2022-01-15T11:11:09 | | description | | | flavor | | | id | 788fe121-3dec-4e1b-8360-4020642238b0 | | listeners | 09f28053-fde8-4c78-88b9-0f191d84120e | | name | lb1 | | operating_status | ONLINE | | pools | 627842b3-eed8-4f5f-9f4a-01a738e64d6a | | project_id | dda678ca5b1241e7ad7bf7eb211a2fd7 | | provider | amphora | | provisioning_status | ACTIVE | | updated_at | 2022-01-15T11:12:42 | | vip_address | 198.51.100.11 | | vip_network_id | 9bca13be-f18d-49a5-a83d-9d487827fd16 | | vip_port_id | 69a85edd-5b1c-458f-96f2-b4552b15b8e6 | | vip_qos_policy_id | None | | vip_subnet_id | 5bd7334b-49b3-4849-b3a2-b0b83852dba1 | +---------------------+--------------------------------------+
当健康监控器存在并正常运行时,您可以检查每个成员的状态。
示例
$ openstack loadbalancer member show pool1 member1
工作成员(
member1)
在其operating_status
具有ONLINE
值:输出示例
+---------------------+--------------------------------------+ | Field | Value | +---------------------+--------------------------------------+ | address | 192.0.2.10 | | admin_state_up | True | | created_at | 2022-01-15T11:11:09 | | id | b85c807e-4d7c-4cbd-b725-5e8afddf80d2 | | name | member1 | | operating_status | ONLINE | | project_id | dda678ca5b1241e7ad7bf7eb211a2fd7 | | protocol_port | 80 | | provisioning_status | ACTIVE | | subnet_id | 5bd7334b-49b3-4849-b3a2-b0b83852dba1 | | updated_at | 2022-01-15T11:12:42 | | weight | 1 | | monitor_port | None | | monitor_address | None | | backup | False | +---------------------+--------------------------------------+
其他资源
- 使用密钥管理器服务管理 secret 指南
- 命令行界面参考中的 LoadBalancer