无法在 openshift 4.3 路由中实现端到端加密

Question

我们有一个AngularJS应用程序，其中有一个nodejs应用程序，它只在HTTPS端口为443时为服务主机名创建证书和密钥。然后创建的证书在nginx中使用，如下所示：

<% if ENV["HTTPS__ENABLED"] == "true" %>
listen <%= ENV["HTTPS__PORT"] %> ssl;
# These files are generated by the node app
ssl_certificate /cert.csr;
ssl_certificate_key /tls_private_key.csr;
ssl_protocols TLSv1.2;
<% end %>

但是当我在路由中设置443端口并重新加密终止时，它在访问应用程序时出现以下错误

Application is not available

The application is currently not serving requests at this endpoint. It may not have been started or is still starting.

请求甚至没有到达pod。如果我创建带有边缘终止的路由，则会出错

400 Bad Request
The plain HTTP request was sent to HTTPS port

在边缘终止中，从路由器到pod没有加密。我不能使用直通终止策略，因为我们的路由中有路径，直通终止不支持。

有人可以让我知道如何在 OpenShift 4.3 中实现端到端加密。我们在这里不使用自定义域。

我正在检查创建重新加密路由的方法oc创建路由重新加密--service=frontend--cert=tls。crt--key=tls。key--dest ca cert=destca。crt--ca证书=ca。crt--hostname=www.example.com

但是由于我们不使用自定义域，我们的路由应该使用默认证书和密钥，对吗？所以没有必要提供这些权利吗？我不知道如何为这条路线创建 --dest-ca-cert。

Answer 1

对于重新加密路由，pod需要配置TLS证书，因为它必须响应源自OpenShift路由器的TLS请求。从尝试使用边缘路由时出现的错误可以看出，您已经有了。

现在，必须使用要在实际路由中使用的相同主机名创建此TLS证书。此TLS证书不必是CA签名的证书，但主机名必须与路由匹配。只有这样，路线才能将流量转发到您的吊舱。

Answer 2

TLS已经在我们的AngularJS应用程序中启用，使用nodejs应用程序创建证书和密钥，供Nginx使用。群集中的Pod使用TLS，它是由CA颁发的，这是我们应该放入路由的destinationCACert中的证书。CA证书是路由器确定是否可以信任TLS通信的上游POD的方式。

我们使用位于 /var/run/secrets/kubernetes.io/serviceaccount/ca.crt 的 ca.cert 作为目标证书，同时创建重新加密路由。我们在创建路由时选择了 HTTPS 端口。oc create route reencrypt --service=frontend --cert=tls.crt --key=tls.key --dest-ca-cert=destca.crt --ca-cert=ca.crt --hostname=www.example.com

这里tls.cert和tls.key对我们来说是不需要的，因为我们使用的是OpenShift集群的默认域。我们使用的唯一证书是--dest-ca-cert，它也可以在openShift-service-ca命名空间的秘密service-service-cerer-sa-Token-l42lm中找到