带API网关的Openshift TLS配置

Question

我试图部署一个角应用程序在OpenShift与Istio作为服务网格。服务yaml：

  - apiVersion: v1
    kind: Service
    metadata:
      labels:
        app: angularapp
        service: angularapp
        version: v1
      name: angularapp
    spec:
      ports:
      - name: http
        protocol: TCP
        port: 8080
        targetPort: 8080
      selector:
        name: angularapp

到目前为止，一切都与http连接一起工作。为了切换到https连接，我将Red Hat Openshift服务Mesh operator安装提供的istio ingressgateway路由配置为使用passthrough

spec:
  host: istio-ingressgateway-istio-system.apps.xxx.xx.xxxxxxx.opentlc.com
  tls:
    insecureEdgeTerminationPolicy: None
    termination: passthrough

以及istio的网关资源：

apiVersion: networking.istio.io/v1alpha3
kind: Gateway
metadata:
  name: testnamespace-gateway
spec:
  selector:
    istio: ingressgateway # use istio default controller
  servers:
    - port:
        number: 443
        name: https
        protocol: HTTPS
      tls:
        mode: SIMPLE
        credentialName: "router-certs"
      hosts:
        - "*"

VirtualService指向angular app的8080端口：

      route:
        - destination:
            host: angularapp
            port:
              number: 8080

问题：TLS配置工作，暴露的istio入口网关网址确实有https连接。但是，API Gateway在触发对上述istio URL的请求时会发出此错误：

由于配置错误，执行失败：无法识别的SSL消息，纯文本连接？

奇怪的是，它只发生一半的时间，另一半工作，即使在每次运行后清除浏览器缓存。请注意，只有istio入口网关URL具有https连接，而作为独立服务的angular应用程序仅具有http连接。

抱歉啰嗦，希望在这里得到一些帮助。谢谢你！

Answer 1

通过添加段解决了这个问题：

  port:
    targetPort: https
  tls:
    termination: passthrough

到istio入口路由配置作为istio入口服务默认配置监听portName： https

name: https  
port: 443  
protocol: TCP  
targetPort: 8080

Answer 2

通过直通终端，加密的流量直接发送到目的地，而不需要路由器提供TLS终端。因此，不需要密钥或证书。

因为您的后端服务是http，所以应该使用

termination: edge

参考：https://docs.openshift.com/container-platform/3.9/architecture/networking/routes.html