在Kubernetes中配置使用Cloudflare终端的SSL端点（负载均衡器和Flask服务）

70次阅读

问题描述

在尝试将Cloudflare终端SSL连接到Kubernetes中的Flask服务时遇到问题。他已经成功让Flask应用在没有HTTPS/SSL的情况下响应，但是当尝试使用SSL时，他收到了’503 Service Unavailable’错误。他的理解是，由于负载均衡器安装了Cloudflare起源证书，因此负载均衡器将终端SSL，所以Flask应用程序不需要进行SSL修改。他提供了负载均衡器和Flask应用服务的Kubernetes配置文件。

解决方案

请注意以下操作注意版本差异及修改前做好备份。

配置Flask应用和负载均衡器

在Kubernetes中配置Flask应用和负载均衡器，以便能够通过Cloudflare使用SSL终端连接。

首先，确保你已经在Cloudflare上设置了域名解析，并且已经获取到了Cloudflare的起源证书。
使用Kubernetes的YAML配置文件定义Flask应用和负载均衡器的服务。

“`yaml
apiVersion: v1
kind: Service
metadata:
name: flask-service
labels:
run: flask-service
annotations:
service.beta.kubernetes.io/do-loadbalancer-tls-ports: “443”
service.beta.kubernetes.io/do-loadbalancer-certificate-id: “68e1d971-1a7c-40d2-8f33-aed797a9535d”
spec:
selector:
app: flask
ports:
– name: tcp
protocol: “TCP”
port: 5000
targetPort: 5000
– name: https
protocol: TCP
port: 443
targetPort: 5000
type: LoadBalancer

apiVersion: apps/v1
kind: Deployment
metadata:
name: flask
spec:
replicas: 1
selector:
matchLabels:
app: flask
template:
metadata:
labels:
app: flask
spec:
containers:
– name: flask
imagePullPolicy: Always
image: gcr.io/xxxxyyyyyy/flask:staging
ports:
– containerPort: 5000
resources:
limits:
memory: 8000Mi
requests:
memory: 4000Mi
“`

在上面的配置中，你需要将service.beta.kubernetes.io/do-loadbalancer-certificate-id更改为你在Cloudflare上获得的证书ID。

使用NGINX作为代理层

由于你遇到了负载均衡和缓冲的问题，建议设置一个NGINX服务器作为代理层来解决这些问题。

在Kubernetes集群中创建一个NGINX Pod，用作代理服务器。
配置NGINX以将流量从负载均衡器传递到Flask应用的服务。
在NGINX配置中禁用代理缓冲，以减少可能的缓冲问题。

生成自己的SSL证书

为了避免问题并且更好地控制SSL，你可以生成自己的SSL证书，而不是依赖Cloudflare的起源证书。

使用Let’s Encrypt（certbot）等工具为你的域名生成免费的SSL证书。
将SSL证书配置到NGINX代理中，以确保安全的HTTPS连接。

总结

在Kubernetes中配置Cloudflare终端SSL连接需要注意负载均衡器和Flask应用的服务配置，以及可能出现的缓冲问题。使用NGINX作为代理层可以更好地控制流量，并禁用代理缓冲以避免连接问题。生成自己的SSL证书可以增加对SSL连接的控制。通过按照上述步骤操作，你应该能够成功配置Cloudflare终端SSL连接到Kubernetes中的Flask应用。