库伯内特斯nginx入口TLS问题

Question

我的公司有一个伪造的CA证书。实例com和一张伪造地图的唱片。实例com连接到我们的负载平衡器的IP

负载平衡器正在将流量转发到我们的Kubernetes群集。

在集群中，我部署了nginx ingress helm图表，在30200处公开了https节点端口

我根据上述证书创建了一个名为test secret的k8s TLS机密。

我部署了一个带有服务“test”的应用程序，并安装了以下入口：

apiVersion: extensions/v1beta1
kind: Ingress
metadata:
  name: test-ingress
  namespace: default
  annotations:
    kubernetes.io/ingress.class: nginx
spec:
  tls:
  - hosts:
    - fake.example.com
    secretName: test-secret
  rules:
    - host: fake.example.com
      http:
        paths:
        - path: /myapp
          backend:
            serviceName: test
            servicePort: 8080

所以，如果我执行

curl https://{ip for k8s node}:30200/myapp/ping -H 'Host:fake.example.com' -k --verbose

我从我的应用程序中得到了预期的响应，但我也看到了

* Server certificate:
*  subject: O=Acme Co; CN=Kubernetes Ingress Controller Fake Certificate
*  start date: Jan 25 20:52:16 2018 GMT
*  expire date: Jan 25 20:52:16 2019 GMT
*  issuer: O=Acme Co; CN=Kubernetes Ingress Controller Fake Certificate

我已经在nginx上确认了。conf文件，服务器名称为false。例如。com ssl_证书、ssl_证书_密钥和ssl_受信任_证书指向正确的位置

所以我的问题是，在这种情况下，是否可以配置nginx来使用正确的证书？

Answer 1

当没有证书可用（您说是在测试秘密中），证书无效，或者控制器在中找不到匹配的主机时，入口控制器将默认为库伯内特斯入口控制器假证书。spec.tls[]，或者您在没有配置默认TLS证书的情况下击中默认后端。

既然你能找到你的服务，那么我怀疑：

1. 您的测试密钥无效，可能是因为您缺少中间证书或CA证书

当您前面有负载均衡器时，将您的入口控制器公开为NodePort是不寻常的。如果这是云部署，那么您将使用类型LoadBalancer。如果这是在前提下，您可以查看MetalLB

Answer 2

你必须创建一个名为test secret的秘密。

➜  charts git:(master) kubectl describe secret --namespace operation mydomain.cn-cert
Name:         mydomain.cn-cert
Namespace:    operation
Labels:       <none>
Annotations:  <none>

Type:  Opaque

Data
====
tls.crt:  3968 bytes
tls.key:  1678 bytes