入口运算符

Red Hat OpenShift Ingress 操作程序 实现应用于集群中应用程序的所有入局流量的路由规则。

入口控制器由 Ingress 操作程序管理。 在集群创建期间，将以 <cluster_name>.<globally_unique_account_HASH>-0000.<region>.containers.appdomain.cloud 格式向集群的缺省 Ingress 子域注册缺省 Ingress 控制器。 通过创建 Route 资源向此子域注册应用程序时，Ingress 控制器将确保通过此子域向应用程序发出的请求正确代理到应用程序 pod。 要查看集群中的缺省 Ingress 控制器，请运行 oc describe ingresscontroller/default -n openshift-ingress-operator。

如果要向其他域注册应用程序，那么可以 创建定制 Ingress 控制器，以改为实现定制域的路由规则。

Ingress 控制器

One HAProxy-based Red Hat OpenShift Ingress controller is created for each IngressController, and one Ingress controller service is created in each zone where you have worker nodes.

Ingress 操作程序使用 IngressController中指定的相同域来配置 Ingress 控制器。 入口控制器侦听通过该域的传入 HTTP、HTTPS 或TCP服务请求。 然后，Ingress 控制器的负载均衡器服务组件仅根据 Route 资源中定义并由 Ingress 控制器实现的规则将请求转发到该应用程序的 pod。

如果您具有多专区集群，那么会将一个高可用性 Ingress 控制器部署到集群，并使用多专区 VPC 负载均衡器进行配置。 每个专区需要两个工作程序节点，以便可以正确部署和更新 Ingress 控制器的两个副本。

如果手动创建 Ingress 控制器，那么 Ingress 控制器不会自动向集群中的 Ingress 子域或应用程序注册。

路由资源

要使用Route公开应用，必须为应用创建一个 Kubernetes 服务，并通过定义Route资源在Ingress控制器中注册该服务。 入口资源（Ingress resource）是一个 Red Hat OpenShift 资源，用于定义如何为应用程序分配传入请求的规则。

“路由”资源还指定了应用程序服务的路径。 您的应用服务的路径将附加到集群的入口子域中，形成一个唯一的应用 URL，例如 mycluster-a1b2cdef345678g9hi012j3kl4567890-0000.us-south.containers.appdomain.cloud/myapp1。

每个项目都需要一个路线资源，用于展示您想要展示的应用。

• 如果集群中的应用程序全部位于同一项目中，那么必须创建一个 Route 资源以定义要公开的应用程序的路由规则。 请注意，如果要对同一项目中的应用程序使用不同的域，那么可以为每个域创建一个资源。
• 如果集群中的应用程序位于不同的项目中，那么必须为每个项目创建一个路由资源以定义应用程序的路由规则。

更多信息，请参阅 为单个或多个项目规划网络。

如果要为应用程序定制路由规则，可以使用 特定于路由的 HAProxy 注释 来管理应用程序的流量。 这些受支持的注释的格式为 haproxy.router.openshift.io/<annotation> 或 router.openshift.io/<annotation>。 请注意，Red Hat OpenShift 版本 4 中的 Ingress 控制器或 Route 资源不支持 IBM Cloud Kubernetes Service 注释 (ingress.bluemix.net/<annotation>) 和 NGINX 注释 (nginx.ingress.kubernetes.io/<annotation>)。

单专区集群

下图显示了 Ingress 如何将通信从因特网定向到经典单专区集群中的应用程序。

1. 用户通过访问应用程序的 URL 向应用程序发送请求。 此 URL 是集群的入口子域，后接已公开应用的入口资源路径，例如 mycluster-<hash>-0000.us-south.containers.appdomain.cloud/myapp。

2. DNS系统服务将 URL 中的子域解析为负载均衡器的可移植公共IP地址，该地址在您的集群中公开入口控制器。

3. 根据已解析的 IP 地址，客户机将请求发送到 Ingress 控制器服务。

4. Ingress 控制器检查由 Ingress 控制器针对 myapp 路径的路由规则实施的路由规则。 如果找到匹配规则，请求将根据您在入口控制器和路由资源中定义的规则被代理到应用程序所在的容器。 数据包的源IP地址被更改为入口控制器运行的工作节点的IP地址。 如果集群中部署了多个应用程序实例，入口控制器将在应用程序容器之间均衡负载。

5. 当应用程序返回响应数据包时，它使用转发请求的入口控制器所在的工作节点的IP地址。 然后，Ingress控制器将响应数据包发送给客户端。

多专区集群

下图显示了 Ingress 如何将通信从因特网定向到经典多专区集群中的应用程序。

1. 用户通过访问应用程序的 URL 向应用程序发送请求。 此 URL 是集群的入口子域，后接已公开应用的入口资源路径，例如 mycluster-<hash>-0000.us-south.containers.appdomain.cloud/myapp。

2. DNS 系统服务将路由子域解析为 MZLB 报告为正常运行的 Ingress 控制器服务的浮动公共 IP 地址。 MZLB持续检查集群中每个区域中暴露入口控制器的服务的便携式公共IP地址。 入口控制器服务以循环方式处理不同区域的需求。

3. 客户机将请求发送到公开 Ingress 控制器的服务的 IP 地址。

4. Ingress 控制器检查 Ingress 控制器针对 myapp 路径实施的路由规则。 如果找到匹配规则，请求将根据您在 IngressController 中定义的规则进行代理，并将路由资源路由到部署应用程序的 pod。 数据包的源IP地址被更改为入口控制器运行的工作节点的IP地址。 如果集群中部署了多个应用实例，入口控制器服务将在所有区域的应用容器之间发送请求。

5. 当应用程序返回响应数据包时，它使用转发请求的入口控制器服务所在的工作节点的IP地址。 然后，Ingress控制器将响应数据包发送给客户端。

具有公共云服务端点的 VPC 集群

在启用公共云服务端点的情况下创建多专区 VPC 集群时，缺省情况下会创建公共 Ingress 控制器。 下图显示了 Ingress 如何将通信从因特网定向到 VPC 多专区集群中的应用程序。

1. 用户通过访问应用程序的 URL 向应用程序发送请求。 此 URL 是您集群的入口子域，用于暴露应用程序，并附加入口资源路径，例如 mycluster-<hash>-0000.us-south.containers.appdomain.cloud/myapp。

2. DNS 服务将路由子域解析为分配给 Ingress 控制器的 VPC 负载均衡器主机名。 在 VPC 集群中，外部 IP 地址是浮动的，并且保留在 VPC 分配的主机名后面。

3. VPC 负载均衡器将 VPC 主机名解析为 Ingress 控制器的区域中报告为正常运行的可用 IP 地址。 VPC 负载均衡器持续检查集群中每个专区中 Ingress 控制器的外部 IP 地址。

4. 根据解析的 IP 地址，VPC 负载均衡器将请求发送到 Ingress 控制器。

5. Ingress 控制器检查 Ingress 控制器针对 myapp 路径实施的路由规则。 如果找到匹配规则，请求将根据您在 IngressController 中定义的规则进行代理，并将路由资源路由到部署应用程序的 pod。 数据包的源IP地址被更改为入口控制器运行的工作节点的IP地址。 如果集群中部署了多个应用实例，入口控制器将在所有区域之间对应用容器之间的请求进行负载均衡。

6. 当应用程序返回响应数据包时，它使用转发请求的入口控制器服务所在的工作节点的IP地址。 VPC负载均衡器随后将响应数据包发送给客户端。

仅具有私有云服务端点的 VPC 集群

当您仅使用私有云服务端点创建多专区 VPC 集群时，缺省情况下会创建私有 Ingress 控制器。 只有连接到专用 VPC 网络的客户机才能访问由专用 Ingress 控制器公开的应用程序。 下图显示了Ingress如何将通信从专用网络引导至VPC多区域集群中的应用程序。

1. 连接到您的专用VPC网络的客户使用您的应用程序的 URL 向您的应用程序发送请求。 此 URL 是您集群的入口子域，用于暴露应用程序，并附加入口资源路径，例如 mycluster-<hash>-0000.us-south.containers.appdomain.cloud/myapp。 例如，您可以使用虚拟专用 Cloud VPN、IBM Cloud Transit Gateway 或 IBM Cloud Direct Link，允许来自本地网络、其他VPC或 IBM Cloud 经典基础设施的请求访问集群中运行的应用。

2. DNS 服务将路由子域解析为分配给 Ingress 控制器的服务的 VPC 负载均衡器主机名。 在 VPC 集群中，Ingress 控制器服务的专用 IP 地址是浮动的，并且保留在 VPC 分配的主机名后面。 请注意，虽然路由子域的 DNS 记录是在公共 DNS 系统中注册的，但可从 VPC 访问 DNS 解析服务器。

3. 专用 VPC 负载均衡器将 VPC 主机名解析为报告为正常运行的 Ingress 控制器服务的可用专用 IP 地址。 VPC 负载均衡器会持续检查集群中每个专区中公开 Ingress 控制器的服务的 IP 地址。

4. 根据解析的 IP 地址，VPC 负载均衡器将请求发送到 Ingress 控制器服务。

5. Ingress 控制器检查 Ingress 控制器针对 myapp 路径实施的路由规则。 如果找到匹配规则，请求将根据您在 IngressController 中定义的规则进行代理，并将路由资源路由到部署应用程序的 pod。 数据包的源IP地址被更改为入口控制器运行的工作节点的IP地址。 如果集群中部署了多个应用实例，入口控制器将在所有区域之间对应用容器之间的请求进行负载均衡。

6. 当应用程序返回响应数据包时，它使用转发客户端请求的入口控制器所在的工作节点的IP地址。 然后，Ingress 控制器通过 VPC 负载均衡器将响应包发送到客户机。