使用会话亲和力（Cookies）与SSL直通在NGINX-入口

Question

TL；DR：我想在nginx入口控制器上通过SSL passthrough在K8s中设置基于cookie的会话关联性——可以这样做吗？

嘿所有人，

我有一个正在运行的Azure Kubernetes服务（AKS）（1.11.3），并配置了NGINX入口控制器，将请求路由到我的应用程序的ClusterIP服务（该应用程序至少运行两个pod）。

我已经成功地在入口控制器上配置了SSL直通，以便TLS在Pod终止，因此我可以使用HTTP2（如本文所述）。现在我想设置会话亲和（使用Cookies），以便连接路由到相同的Pod以进行有状态行为（登录到应用程序）。

为此，我尝试在入口对象上使用以下注释：

nginx.ingress.kubernetes.io/affinity: "cookie"
nginx.ingress.kubernetes.io/session-cookie-name: "route"
nginx.ingress.kubernetes.io/session-cookie-expires: "172800"
nginx.ingress.kubernetes.io/session-cookie-max-age: "172800"
nginx.ingress.kubernetes.io/session-cookie-hash: "sha1"

但是，我没有看到第一个请求返回的“路由”cookie。我已经解决了这里描述的问题，并确保入口设置正确。然后我在文档中发现了这条消息：

由于SSL直通在OSI模型（TCP）的第4层而不是第7层（HTTP）上工作，因此使用SSL直通会使入口对象上设置的所有其他注释无效。

问：这是否意味着将会话关联与SSL传递一起使用是不可能的？在这种情况下，入口将无法识别连接/cookie（因为它是SSL加密的），并将其指向之前关联的pod？

Answer 1

简而言之：不，这是不可能的。第4层不知道什么是超文本传输协议，它只是看到字节来回流动。你可以根据ip地址建立亲和力，只是不使用cookie，因为它需要第7层代理解决方案。根据您的情况，您可以在第7层运行一个代理，该代理能够解密流量，然后用另一个证书对其加密，供内部使用。所有的有效负载（例如减去SNI）都没有按照SSL加密，这意味着为了对cookie进行某种关联，代理需要在检查数据之前解密数据。