版本比较

旧版本 1

changes.mady.by.user 虚拟的现实

保存于

比较

新版本 2

changes.mady.by.user 虚拟的现实

保存于

标识

  • 该行被添加。
  • 该行被删除。
  • 格式已经改变。

简介

Kong 的插件机制是其高可扩展性的根源，Kong 可以很方便地为路由和服务提供各种插件，网关所需要的基本特性，Kong 都如数支持：

  • 云原生: 与平台无关，Kong可以从裸机运行到Kubernetes
  • 动态路由: Kong 的背后是 OpenResty+Lua，所以从 OpenResty 继承了动态路由的特性
  • 熔断
  • 健康检查
  • 日志: 可以记录通过 Kong 的 HTTP，TCP，UDP 请求和响应。
  • 鉴权: 权限控制，IP 黑白名单，同样是 OpenResty 的特性
  • SSL: Setup a Specific SSL Certificate for an underlying service or API
  • 监控: Kong 提供了实时监控插件
  • 认证: 如数支持 HMAC, JWT, Basic, OAuth2.0 等常用协议
  • 限流
    REST API: 通过 Rest API 进行配置管理，从繁琐的配置文件中解放
  • 可用性: 天然支持分布式
  • 高性能: 背靠非阻塞通信的 nginx，性能自不用说
  • 插件机制: 提供众多开箱即用的插件，且有易于扩展的自定义插件接口，用户可以使用 Lua 自行开发插件

参考文档

kong 网关配置 https://wiki.waringid.me/x/UwES

kong 的常用指令 https://wiki.waringid.me/x/aQES

kong 插件机制 https://wiki.waringid.me/x/bgES

开源API网关系统（Kong教程）入门到精通 https://www.jianshu.com/p/a68e45bcadb6

配置详解 - 玩转Kong网关 https://www.jianshu.com/p/f3b1699777d6

Kong 源码分析 http://cyukang.com/archives/

Kong 轻量级 UI https://github.com/pocketdigi/kong-admin-ui

Kong 插件开发指南 https://ms2008.github.io/archives/

Linux 下 Nginx 服务 Rewrite 和 Proxy_Pass https://www.jianshu.com/p/10ecc107b5ee

Prometheus 入门与实践 https://www.ibm.com/developerworks/cn/cloud/library/cl-lo-prometheus-getting-started-and-practice/index.html

k8s 与监控–解读 prometheus 监控 kubernetes 的配置文件 https://segmentfault.com/a/1190000013230914

k8s 配置 https://kubernetes.feisky.xyz/pai-cuo-zhi-nan/network

etcd 管理，证书配置，扩展，迁移恢复，带证书扩展节点  https://segmentfault.com/a/1190000016010980

k8s 集群节点更换 ip 或者 k8s 集群添加新节点 https://www.cnblogs.com/chenjw-note/p/11175250.html

konga 操作

设置连接

登录成功后会有下图所示的画面，在"name"栏中输入 kong 的连接地址。默认情况 kong 和 konga 安装在同一台服务器，输入“http://localhost:8001”即可完成连接。

Image Added

Image Removed

konga 支持连接多个 kong 。对于不同地址的微服务网关，需要调整非本机 kong 的管理监听配置（安全考虑，kong 默认情况只允许本地网络访问微服务的管理端口）。

基础概念

仪表盘

仪表板显示有关您当前连接的Kong实例，基础数据库和可用插件的基本信息。更多详细信息可在INFO页面中找到。

快照

快照功能允许您轻松地跨节点备份，恢复和移动Kong配置。您还可以安排Kong实例的自动快照。

设置

设置页面提供了一种配置Konga并为用户帐户设置基本ACL的简单方法。

konga 配置反向代理

场景描述

将https://10.3.2.1基于 IP 地址的 URL 访问情况转化为基于域名的访问“https://office-gw.myj.lan”。

该类需求需要通过 kong 配置反向代理的方式实现。

 增加上游服务器

点击“Upstreams ”进入 konga 的上游服务器（10.3.2.1）配置，通过“Create Upstreams”增加。在“Name”中输入上游代理的名称描述，该名称在后续的服务（service）中会用到，用于关联服务和上游服务器。增加了上游服务描述后通过“Target”增加具体的服务器地址，例如本例中的10.3.2.1。如果要实现多台主机负载均衡的配置，可以通过增加主机并调整策略的方式实现。

Image Removed

Image Added

增加服务

Service服务，通过Kong匹配到相应的请求要转发的地方( 理解nginx 配置文件中server)。

自己定义的上游服务通过 Kong 匹配到相应的请求要转发的地方， Service 可以与下面的 Route 进行关联，一个 Service 可以有很多Route，匹配到的 Route 就会转发到 Service 中,、， 当然中间也会通过 Plugin 的处理,增加或者减少一些相应的 Header 或者其他信息。

导航到服务页面并添加新服务。填写内容如下：

注意
title注意

url 参数是一个简化参数，用于一次性添加protocol，host，port和path。另外不要把Services当作后端的具体API，要把它当作一个大的服务，该服务下面有多个API（endpoint or route）。所以创建服务的时候填上该服务的域名就行了。当然也可以是一个url（带Path的），这样每个API（route）会路由到该path上。

需要注意“Host”的内容要和上游服务器的“Name”保持一致。

增加路由

Route 路由相当于nginx 配置中的location。

Route 实体定义匹配客户端请求的规则.。每个路由都与一个服务相关联,而服务可能有多个与之相关联的路由。 每一个匹配给定路线的请求都将被提交给它的相关服务。

路由和服务的组合（以及它们之间的关注点分离）提供了一种强大的路由机制,，可以在 Kong 中定义细粒度的入口，从而引导你的访问到不同 upstream 服务。

这里的 Path 就是具体业务访问的路径（endpoint）。Hosts 不设置会默认采用 Services 里的 Host，但是一旦设置了，客户端请求该 route 的时候必须带上设置的 host，且必须一致。

如果 Strip path 设置为 YES，这里的 Path 可以加一个前缀，如：/passport/users，但最终会映射到后端真实的 API /users。Kong 转发到后端服务的时候会把前缀 /passport部分去掉。客户端调用 API 必须和 Routes 里的 Path一致才行（/passport/users），否则会得到404，无法匹配。用户的请求是先匹配 route，然后转发到 service。

配置 prometheus 监控

prometheus 相关

有关监控系统 prometheus 的介绍及配置请参考：

1401-prometheus 配置指南 https://wiki.myj.com.cn/x/WADG

1402-Prometheus 之 node-exporter 常用指标 https://wiki.myj.com.cn/x/fADG

启用监控插件

选择“Plugins”插件设置，选择“Prometheus” 监控插件并启用。需要主机插件的生效范围，例如下图中的生效范围是全局生效。

Image Modified

配置 metrics 访问

安全考虑，默认情况下启用“prometheus”监控插件只允许本机的管理端口访问，如下图示。由于 Prometheus 监控服务器是其它的 IP 地址，无法正常访问需要监控的数据指标，因此可以通过增加反向代理的方式通过域名访问解决。

目标：将 http://localhost:8001/metrics 的访问改为 http://metrics.myj.lan/metrics，并且只允许指定的 IP 地址访问。

1、增加上游服务器

上游服务器的目标地址是 http://localhos:8001

2、配置服务和路由

3、访问测试

增加监控配置

在 prometheus 的配置文件中增加新的服务器资源，如下图。完成配置后重新加载 prometheus 监控服务并确认已正常加载。

监控图形展示

 nginx 配置迁移

1、将http://yunpan.myj.com.cn 的访问自动转换为 https://yunpan.myj.com.cn

2、内部网络不限制访问速度

3、转换location / 和 location /seafhttp 的跳转

思路：通过 kong 网关增加证书域名和 service 及 route 配置完成转换。

nginx 配置内容nginx 配置内容

代码块
languagebash
upstream yunpan.myj.com.cn {
        server 10.2.5.100:8000;
        keepalive 6000;
}

server {
       listen 80;
        server_name yunpan.myj.com.cn;
        rewrite ^(.*) https://$server_name$request_uri permanent;
}

server {
        listen 443 ssl;
        server_name yunpan.myj.com.cn;
        root html;
        index index.html index.htm;
        ssl_certificate /root/myj/214828708690016.pem;
        ssl_certificate_key /root/myj/214828708690016.key;
        ssl_session_cache shared:SSL:20m;
        ssl_session_timeout 10m;
        ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
        ssl_prefer_server_ciphers on;
        ssl_ciphers "EECDH+AESGCM:EDH+AESGCM:ECDHE-RSA-AES128-GCM-SHA256:AES256+EECDH:DHE-RSA-AES128-GCM-SHA256:AES256+EDH:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA256:ECDHE-RSA-AES256-SHA:ECDHE-RSA-AES128-SHA:DHE-RSA-AES256-SHA256:DHE-RSA-AES128-SHA256:DHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA:ECDHE-RSA-DES-CBC3-SHA:EDH-RSA-DES-CBC3-SHA:AES256-GCM-SHA384:AES128-GCM-SHA256:AES256-SHA256:AES128-SHA256:AES256-SHA:AES128-SHA:DES-CBC3-SHA:HIGH:!aNULL:!eNULL:!EXPORT:!DES:!MD5:!PSK:!RC4";

        location / {
                root html;
                index index.html index.htm;
                proxy_set_header Host $host;
                proxy_set_header X-Real-IP $remote_addr;
                proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
                proxy_pass http://yunpan.myj.com.cn;
                proxy_set_header X-Forwarded-Host $server_name;
                proxy_set_header X-Forwarded-Proto https;
                proxy_read_timeout 1200s;
               client_max_body_size 0;
        }

        location /seafhttp {
               rewrite ^/seafhttp(.*)$ $1 break;
               proxy_pass http://192.168.5.100:8082;
              client_max_body_size 0;
              proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
              proxy_connect_timeout 36000s;
              proxy_read_timeout 36000s;
              send_timeout 36000s;
              limit_rate 1024k;
        }
        error_page 404 /50x.html;
        error_page 500 502 503 504 /50x.html;
        location = /50x.html {
             root html;
       }
}

配置证书

通过 konga 的界面增加证书配置，在 sni 项目中增加 yunpan.myj.com.cn 的配置。

Image RemovedImage Added

配置上游服务器

需要配置2个上游服务器，涉及同一个IP的2个不同端口。

配置服务

对应的需要配置2个 service

配置路由

配置跳转

在2个 route 项中启用 301https 的自动跳转插件。

目录
printablefalse