如何在Kubernetes中公开非HTTP、TCP服务？

Question

我正在公有云（Azure/AWS/Google cloud）中运行一个Kubernetes集群，我有一些非HTTP服务要为用户公开。

对于HTTP服务，Id通常使用Ingress资源通过可寻址的DNS条目公开地公开该服务。

对于非HTTP、基于TCP的服务（例如，诸如PostgreSQL之类的数据库），我应该如何公开这些服务以供公共使用？

我考虑过使用nodeport服务，但这要求节点本身可以公开访问（依赖kube-proxy路由到适当的节点）。如果可能的话，我更愿意避免这件事。

LoadBalancer服务似乎是另一种选择，尽管我不想为我要公开的每个TCP服务创建一个专用的云负载均衡器。

我知道NGINX Ingress controller支持公开TCP和UDP服务，但这似乎需要对要公开的服务进行静态定义。对于我的用例，这些服务是动态创建和销毁的，因此不可能在静态configmap中预先定义这些服务映射。

Answer 1

对于非HTTP、基于TCP的服务（例如，诸如PostgreSQL之类的数据库），我应该如何公开这些服务以供公共使用？

这取决于您期望最终用户如何处理这些服务？正如您指出的，有了入口，就有可能使用虚拟主机将所有请求路由到同一个入口控制器，然后使用host:头在集群内分派。

对于TCP服务（如PostgreSQL）来说，没有这样的头。因此，您必须使用基于IP的机制，或者在面向Internet的IP上为每一个都分配一个专用端口

如果您的客户机知道IPv6，那么考虑到IPv6提供的绝对巨大的IP空间，为每个服务分配专用的IP地址是绝对合理的。但除此之外，您需要转动两个旋钮：IP和端口。

然后，如何在集群内将这些连接路由到正确的服务将取决于如何解决第一个问题

Answer 2

也许这个工作流程可以提供帮助：

（我做的假设是云提供商是AWS）

>

AWS控制台：创建一个隔离的VPC并创建您的Kubernetes ec2实例（或自动缩放组），禁用公共IP的创建。这使得无法从Internet访问该实例，您仍然可以通过专用IP(ex，172.30.1.10)通过Site2站点VPN或通过具有公共IP的同一VPC中的辅助ec2实例进行访问。

Kubernetes：创建一个具有固定节点端口的服务（例如Postgres的35432）。

AWS控制台：在节点的同一VPC中创建一个经典的o Layer 4 Loadblancer，在Listeners选项卡中打开端口35432（以及您可能需要的其他端口），通过“目标组”指向您的一个或所有节点。端口数量不收费。

在这一点上，我不知道如何自动更新负载均衡器的目标组中的当前活动节点，这可能是一个自动缩放功能的问题，如果有的话...也许是一个带有bash脚本的Cron作业，从AWS API中提取信息并更新目标组？