经典单区集群中的交通流

下图显示了路由器如何将网络流量从互联网引导到单区经典集群中的应用程序。

1. 对应用程序的请求使用为应用程序设置的路径主机名。

2. DNS 服务会将子域解析为路由器服务的可移植公共 IP 地址。

3. 路由器收到请求后，会通过专用网络将其转发到应用程序 pod 的专用 IP 地址。 请求包的源 IP 地址会更改为运行路由器 pod 的 Worker 节点的公共 IP 地址。 如果集群中部署了多个应用程序实例，路由器会在应用程序 pod 之间发送请求。

4. 当应用程序返回响应数据包时，它会使用转发客户端请求的路由器所在的工作节点的 IP 地址。 然后，路由器通过负载均衡器服务将响应包发送到客户机。

经典多区集群中的交通流

下图显示了路由器如何将网络流量从互联网引导到多区经典集群中的应用程序。

1. 对应用程序的请求使用为应用程序设置的路径主机名。

2. DNS 服务将路由子域解析为由多专区负载均衡器 (MZLB) 报告为正常运行的路由器服务的可移植公共 IP 地址。 MZLB 会持续检查群集中每个区域中暴露路由器的服务的可移植公共 IP 地址。 请求由不同区域的路由器服务轮流处理。

3. 根据路由器服务的解析 IP 地址，路由器接收请求。

4. 路由器通过专用网络将请求转发到应用程序 pod 的专用 IP 地址。 请求包的源 IP 地址会更改为运行路由器 pod 的 Worker 节点的公共 IP 地址。 每个路由器向自己区域内的应用程序实例和其他区域内的应用程序实例发送请求。 此外，如果在一个专区中部署了多个应用程序实例，那么路由器会在应用程序 pod 之间交替发出请求。

5. 当应用程序返回响应数据包时，它会使用转发客户端请求的路由器所在的工作节点的 IP 地址。 然后，路由器通过负载均衡器服务将响应包发送到客户机。

具有公共云服务端点的多专区 VPC 集群中的流量流

在启用公共云服务端点的情况下创建多专区 VPC 集群时，缺省情况下会创建公共 Ingress 控制器。 Ingress 控制器为应用程序分配可公开访问的路径，并在公共主机网络接口上侦听对应用程序的请求。

下图显示了入口控制器如何将网络流量从互联网引导到多区 VPC 集群中的应用程序。

1. 对应用程序的请求使用为应用程序设置的路径主机名。

2. DNS 服务将路由子域解析为分配给 Ingress 控制器的服务的 VPC 负载均衡器主机名。 在 VPC 集群中，Ingress 控制器服务的外部 IP 地址是浮动的，并且保留在 VPC 分配的主机名后面。

3. VPC 负载均衡器将 VPC 主机名解析为报告为正常运行的 Ingress 控制器服务的可用外部 IP 地址。 VPC 负载均衡器会持续检查在集群中的每个专区中公开 Ingress 控制器的服务的外部 IP 地址。

4. 根据解析的 IP 地址，VPC 负载均衡器将请求发送到 Ingress 控制器服务。

5. 入口控制器通过专用网络将请求转发到应用程序 pod 的专用 IP 地址。 请求数据包的源 IP 地址会更改为运行入口控制器 pod 的工作节点的 IP 地址。 每个 Ingress 控制器都会向自己区域内的应用程序实例和其他区域内的应用程序实例发送请求。 此外，如果在一个区域中部署了多个应用程序实例，那么 Ingress 控制器会在应用程序 pod 之间交换请求。

6. 当应用程序返回响应数据包时，它会使用转发客户端请求的 Ingress 控制器所在工作节点的 IP 地址。 然后，Ingress 控制器通过 VPC 负载均衡器将响应包发送到客户机。

仅具有私有云服务端点的多专区 VPC 集群中的流量流

当您仅使用私有云服务端点创建多专区 VPC 集群时，缺省情况下会创建私有 Ingress 控制器。 Ingress 控制器为应用程序分配专用可访问路径，并在专用主机网络接口上进行侦听。 只有连接到专用 VPC 网络的客户机才能访问由专用路由公开的应用程序。

下图显示了 Ingress 控制器如何将网络流量从专用网络定向到多专区 VPC 集群中的应用程序。

1. 连接到专用 VPC 网络的客户机通过使用应用程序的专用路由向应用程序发送请求。 例如，您可以使用虚拟专用 Cloud VPN，IBM Cloud Transit Gateway或 IBM Cloud Direct Link 来允许来自本地网络，另一个 VPC 或 IBM Cloud 经典基础结构的请求到集群中运行的应用程序。

2. DNS 服务将路由子域解析为分配给 Ingress 控制器的服务的 VPC 负载均衡器主机名。 在 VPC 集群中，Ingress 控制器服务的 IP 地址是浮动的，并且保留在 VPC 分配的主机名之后。 请注意，虽然路由子域的 DNS 记录是在公共 DNS 系统中注册的，但可从 VPC 访问 DNS 解析服务器。

3. 专用 VPC 负载均衡器将 VPC 主机名解析为报告为正常运行的 Ingress 控制器服务的可用专用 IP 地址。 VPC 负载均衡器会持续检查集群中每个专区中公开 Ingress 控制器的服务的 IP 地址。

4. 根据解析的 IP 地址，VPC 负载均衡器将请求发送到 Ingress 控制器服务。

5. 入口控制器通过专用网络将请求转发到应用程序 pod 的专用 IP 地址。 请求数据包的源 IP 地址会更改为运行入口控制器 pod 的工作节点的 IP 地址。 每个 Ingress 控制器都会向自己区域内的应用程序实例和其他区域内的应用程序实例发送请求。 此外，如果在一个区域中部署了多个应用程序实例，那么 Ingress 控制器会在应用程序 pod 之间交换请求。

6. 当应用程序返回响应数据包时，它会使用转发客户端请求的 Ingress 控制器所在工作节点的 IP 地址。 然后，Ingress 控制器通过 VPC 负载均衡器并通过 IBM Cloud VPC VPN，Transit Gateway或 Direct Link 将响应包发送到客户机。

在经典集群或具有公共云服务端点的 VPC 集群中设置公共路由

如果集群是在经典基础架构上创建的，或者如果集群是在 VPC 基础架构上创建的，并且您在集群创建期间启用了公共云服务端点，那么缺省情况下将使用公共 Ingress 控制器创建集群。 您可以使用此 Ingress 控制器为应用程序创建公共路径。

1. 为应用程序部署创建 Kubernetes ClusterIP 服务。 该服务为 Ingress 控制器可将流量发送到的应用程序提供内部 IP 地址。

   oc expose deploy <app_deployment_name> --name my-app-svc
   

2. 选择应用程序的域。 请注意，路由 URL 必须不超过 130 个字符 IBM提供的域: 如果不需要使用定制域，那么将以 <service_name>-<project>.<cluster_name>-<random_hash>-0000.<region>.containers.appdomain.cloud 格式为您生成路由主机名。 定制域: 要指定定制域，请使用 DNS 提供程序或 IBM Cloud® Internet Services。

   1. 获取 EXTERNAL-IP 列中每个专区中公共 Ingress 控制器服务的公共 IP 地址。 请注意，具有工作程序节点的第一个专区中的 Ingress 控制器服务始终命名为 router-default，而随后添加到集群的专区中的 Ingress 控制器服务具有诸如 router-dal12 之类的名称。

      oc get svc -n openshift-ingress
      

   2. 通过 DNS 提供商创建自定义域名。 如果要将同一子域用于集群中的多个服务，那么可以注册通配符子域，例如 *.example.com。

   3. 通过添加 IP 地址作为 A 记录，将定制域映射到 Ingress 控制器的公共 IP 地址。

3. 设置基于应用程序需要的 TLS 终止类型 的路由。 如果您没有定制域，请不要包含 --hostname 选项。 将为您生成格式为 <service_name>-<project>.<cluster_name>-<random_hash>-0000.<region>.containers.appdomain.cloud 的路径主机名。 如果已注册通配符子域，请在创建的每个路由中指定唯一的子域。 例如，可以在此路由中指定 --hostname svc1.example.com，在另一个路由中指定 --hostname svc2.example.com。

   • 简单:

     oc expose service <app_service_name> [--hostname <subdomain>]
     

   • 传递:

     oc create route passthrough --service <app_service_name> [--hostname <subdomain>]
     

     需要处理 HTTP/2 连接吗? 创建路由后，运行 oc edit route <app_service_name> 并将路由的 targetPort 值更改为 https。 您可以通过运行 curl -I --http2 https://<route> --insecure 来测试路由。
   • Edge: 如果使用定制域，请包括 --hostname，--cert 和 --key 选项以及 (可选) --ca-cert 选项。 有关 TLS 证书需求的更多信息，请参阅 Red Hat OpenShift 边缘路由文档。

     oc create route edge --service <app_service_name> [--hostname <subdomain> --cert <tls.crt> --key <tls.key> --ca-cert <ca.crt>]
     

   • 重新加密: 如果使用定制域，请包括 --hostname，--cert 和 --key 选项以及 (可选) --ca-cert 选项。 有关 TLS 证书需求的更多信息，请参阅 Red Hat OpenShift 重新加密路由文档。

     oc create route reencrypt --service <app_service_name> --dest-ca-cert <destca.crt> [--hostname <subdomain> --cert <tls.crt> --key <tls.key> --ca-cert <ca.crt>]
     

4. 验证是否已创建应用程序服务的路径。

   oc get routes
   

5. 可选: 使用 可选配置定制缺省路由规则。 例如，您可以使用 特定于路由的 HAProxy 注释。

仅使用私有云服务端点在 VPC 集群中设置公共路由

如果集群是在 VPC 基础结构上创建的，并且在集群创建期间仅启用了私有云服务端点，那么缺省情况下仅使用专用路由器创建集群。 要公开公开应用程序，必须首先创建公共 IngressController 资源并使用子域进行配置。 Ingress 操作员会根据 IngressController, 自动创建和配置一个新的公共 Ingress 控制器，您可以使用它为应用程序创建公共路由。

请注意，即使在以下步骤中创建 IngressController 资源，IngressController 也仅需要为您创建和配置必需的 Ingress 控制器。 创建 Ingress 控制器后，可直接使用 Ingress 控制器来创建路径。

1. 准备要用于 Ingress 控制器的域。

   • 定制域: 要注册定制域，请使用域名服务 (DNS) 提供程序或 IBM Cloud DNS。 如果要将同一子域用于集群中的多个服务，那么可以注册通配符子域，例如 *.example.com。 如果使用定制域，那么还必须在 IngressController 规范中指定域证书。 有关更多信息，请参阅 设置定制缺省证书
   • IBM提供的域:
     1. 列出集群中的现有子域。 在输出的 子域 列中，复制具有最高 000<n> 值的子域。

        ibmcloud oc nlb-dns ls --cluster <cluster_name_or_id>
        

        在此示例输出中， mycluster-a1b2cdef345678g9hi012j3kl4567890-0002.us-south.containers.appdomain.cloud 子域具有最高 000<n> 值 0002。

        Subdomain                                                                               Load Balancer Hostname                        Health Monitor   SSL Cert Status           SSL Cert Secret Name
        mycluster-a1b2cdef345678g9hi012j3kl4567890-0000.us-south.containers.appdomain.cloud     ["1234abcd-us-south.lb.appdomain.cloud"]      None             created                   mycluster-a1b2cdef345678g9hi012j3kl4567890-0000
        mycluster-a1b2cdef345678g9hi012j3kl4567890-0001.us-south.containers.appdomain.cloud     ["5678efgh-us-south.lb.appdomain.cloud"]      None             created                   mycluster-a1b2cdef345678g9hi012j3kl4567890-0001
        mycluster-a1b2cdef345678g9hi012j3kl4567890-0002.us-south.containers.appdomain.cloud     ["9012ijkl-us-south.lb.appdomain.cloud"]      None             created                   mycluster-a1b2cdef345678g9hi012j3kl4567890-0002
        

     2. 在复制的子域中，将子域中的 000<n> 值更改为 000<n+1>。 例如，mycluster-a1b2cdef345678g9hi012j3kl4567890-0002.us-south.containers.appdomain.cloud 子域将更改为 mycluster-a1b2cdef345678g9hi012j3kl4567890-0003.us-south.containers.appdomain.cloud。 您可以在后续步骤中注册此子域。

2. 创建 YAML 文件，该文件通过步骤 1 中的域配置公共 Ingress 控制器。

   apiVersion: operator.openshift.io/v1
   kind: IngressController
   metadata:
     name: public
     namespace: openshift-ingress-operator
   spec:
     # defaultCertificate: If you are using a custom domain, specify the domain certificate
       # name: custom-certs-default
     replicas: 2
     domain: <domain>
     endpointPublishingStrategy:
       loadBalancer:
         scope: External
       type: LoadBalancerService
   

3. 在集群的 openshift-ingress-operator 名称空间中创建 IngressController 资源。 创建 IngressController, 会根据 IngressController 设置在 openshift-ingress 命名空间中自动创建和部署公共 Ingress 控制器。 此外，将创建 Ingress 控制器服务以公开 Ingress 控制器。

   oc create -f public.yaml -n openshift-ingress-operator
   

4. 获取 router-public 服务的 EXTERNAL IP 字段中的 VPC 主机名。 在 VPC 集群中，路由器服务的外部 IP 地址是浮动的，而是保留在 VPC 分配的主机名后面。

   oc get svc router-public -n openshift-ingress
   

   示例输出

   NAME                         TYPE           CLUSTER-IP       EXTERNAL-IP                             PORT(S)                      AGE
   router-public                LoadBalancer   172.21.57.132    1234abcd-us-south.lb.appdomain.cloud    80/TCP,443/TCP,1940/TCP      3m
   

5. 向步骤 1 中选择的域注册服务的 VPC 主机名。 此步骤确保向您为 Ingress 控制器选择的域注册 Ingress 控制器服务的 IP 地址 (保留在 VPC 主机名后面)。

   • 定制域: 使用 DNS 提供程序将服务的 VPC 主机名添加为映射到定制域的 CNAME。

   • IBM提供的域: 为服务的 VPC 主机名创建 DNS 条目。 运行以下命令时，将自动生成在步骤 2 中指定的子域，并向 Ingress 控制器服务注册该子域。

     ibmcloud oc nlb-dns create vpc-gen2 --cluster <cluster_name_or_ID> --lb-host <router_VPC_hostname>
     

6. 可选: 如果要使用 Ingress 控制器分片，以便特定路由由特定 Ingress 控制器处理 (例如，仅允许专用路由进入专用路由器)，那么可以使用路由标签或名称空间标签来指定分片方法。 要在创建期间添加选择器，请将其包含在 spec 下的 ingresscontroller yaml 中。 例如，要允许 Ingress 控制器仅处理标签为 type=sharded 的入口/路由，可以添加 routeSelector。 有关更多信息，请参阅 Ingress 控制器分片。

     routeSelector:
       matchLabels:
         type: sharded
   

   1. 要向现有 Ingress 控制器添加选择器，请获取 Ingress 控制器的列表。

      oc get ingresscontroller -n openshift-ingress-operator
      

   2. 将选择器添加到要在其中使用分片的 Ingress 控制器。

      oc patch  -n openshift-ingress-operator IngressController/<name>   --type='merge'   -p '{"spec":{"routeSelector":{"matchLabels":{"type":"sharded"}}}}'
      

   3. 请注意，没有向默认 IngressController, 添加选择器，因此所有路由仍会被接入群集上的默认 Ingress 控制器。 您可以使用相关路由或名称空间标签选择器来更改此行为。 例如，要调整缺省路由器以跳过标签为 type=sharded 的入口/路由，请运行以下 patch 命令。

      oc patch -n openshift-ingress-operator IngressController/default --type='merge'   -p '{"spec":{"routeSelector":{"matchExpressions":[{"key":"type","operator":"NotIn","values":["sharded"]}]}}}'
      

      集群上的多个路由和 Ingresses 依赖于缺省公共入口控制器。 确保更改正确无误后再编辑默认入口控制器。 有关更多信息，请参阅 Ingress 控制器分片。

7. 为应用程序部署创建 Kubernetes ClusterIP 服务。 该服务为 Ingress 控制器可将流量发送到的应用程序提供内部 IP 地址。

   oc expose deploy <app_deployment_name> --name <app_service_name> -n <app_project>
   

8. 设置基于应用程序需要的 TLS 终止类型 的路由。 如果不包含 --hostname 选项，那么将以 <app_service_name>-<app_project>.<router-subdomain> 格式为您生成路径主机名。

   • 简单:

     oc expose service <app_service_name> [--hostname <subdomain>]
     

   • 传递:

     oc create route passthrough --service <app_service_name> [--hostname <subdomain>]
     

     需要处理 HTTP/2 连接吗? 创建路由后，运行 oc edit route <app_service_name> 并将路由的 targetPort 值更改为 https。 您可以通过运行 curl -I --http2 https://<route> --insecure 来测试路由。
   • Edge: 如果使用定制域，请包括 --hostname，--cert 和 --key 选项以及 (可选) --ca-cert 选项。 有关 TLS 证书需求的更多信息，请参阅 Red Hat OpenShift 边缘路由文档。

     oc create route edge --service <app_service_name> [--hostname <subdomain> --cert <tls.crt> --key <tls.key> --ca-cert <ca.crt>]
     

   • 重新加密: 如果使用定制域，请包括 --hostname，--cert 和 --key 选项以及 (可选) --ca-cert 选项。 有关 TLS 证书需求的更多信息，请参阅 Red Hat OpenShift 重新加密路由文档。

     oc create route reencrypt --service <app_service_name> --dest-ca-cert <destca.crt> [--hostname <subdomain> --cert <tls.crt> --key <tls.key> --ca-cert <ca.crt>]
     

9. 验证是否已创建应用程序的路径。

   oc get routes
   

10. 可选: 使用 可选配置定制公共 Ingress 控制器的路由规则。 例如，您可以使用 特定于路由的 HAProxy 注释。

11. 要使用同一子域为更多应用程序创建路径，可以重复步骤 7-10，以便由同一公共 Ingress 控制器生成该路径。 如果要使用其他子域为更多应用程序创建路径，请重复此部分中的所有步骤以创建具有其他域的新的公共 Ingress 控制器。

在经典集群或具有公共云服务端点的 VPC 集群中设置专用路由

如果集群是在经典基础架构上创建的，或者如果集群是在 VPC 基础架构上创建的，并且您在集群创建期间启用了公共云服务端点，那么缺省情况下将仅使用公共 Ingress 控制器来创建集群。 要以专用方式公开应用程序，必须首先创建专用 IngressController 资源，并使用子域配置控制器。 Ingress 操作程序会自动创建并配置新的专用 Ingress 控制器，您可以使用该控制器为应用程序创建专用路径。

请注意，即使在以下步骤中创建 IngressController 资源，IngressController 资源也仅需要为您创建和配置必需的 Ingress 控制器。 创建 Ingress 控制器后，可直接使用路由器来创建路由。

1. 准备要用于 Ingress 控制器的域。

   • 定制域，经典或 VPC 集群: 要注册定制域，请使用域名服务 (DNS) 提供程序或 IBM Cloud DNS。 如果要将同一子域用于集群中的多个服务，那么可以注册通配符子域，例如 *.example.com。
   • IBM提供的域，仅限 VPC 集群:
     1. 列出集群中的现有子域。 在输出的 子域 列中，复制具有最高 000<n> 值的子域。

        ibmcloud oc nlb-dns ls --cluster <cluster_name_or_id>
        

        在此示例输出中， mycluster-a1b2cdef345678g9hi012j3kl4567890-0002.us-south.containers.appdomain.cloud 子域具有最高 000<n> 值 0002。

        Subdomain                                                                               Load Balancer Hostname                        Health Monitor   SSL Cert Status           SSL Cert Secret Name
        mycluster-a1b2cdef345678g9hi012j3kl4567890-0000.us-south.containers.appdomain.cloud     ["1234abcd-us-south.lb.appdomain.cloud"]      None             created                   mycluster-a1b2cdef345678g9hi012j3kl4567890-0000
        mycluster-a1b2cdef345678g9hi012j3kl4567890-0001.us-south.containers.appdomain.cloud     ["5678efgh-us-south.lb.appdomain.cloud"]      None             created                   mycluster-a1b2cdef345678g9hi012j3kl4567890-0001
        mycluster-a1b2cdef345678g9hi012j3kl4567890-0002.us-south.containers.appdomain.cloud     ["9012ijkl-us-south.lb.appdomain.cloud"]      None             created                   mycluster-a1b2cdef345678g9hi012j3kl4567890-0002
        

     2. 在复制的子域中，将子域中的 000<n> 值更改为 000<n+1>。 例如，mycluster-a1b2cdef345678g9hi012j3kl4567890-0002.us-south.containers.appdomain.cloud 子域将更改为 mycluster-a1b2cdef345678g9hi012j3kl4567890-0003.us-south.containers.appdomain.cloud。 您可以在后续步骤中注册此子域。

2. 创建配置文件，以通过步骤 1 中的域来配置专用 Ingress 控制器。

   apiVersion: operator.openshift.io/v1
   kind: IngressController
   metadata:
     name: private
     namespace: openshift-ingress-operator
   spec:
     replicas: 2
     domain: <domain>
     endpointPublishingStrategy:
       loadBalancer:
         scope: Internal
       type: LoadBalancerService
   

3. 在集群的 openshift-ingress-operator 名称空间中创建 IngressController 资源。 创建 IngressController 资源时，将根据 IngressController 设置在 openshift-ingress 名称空间中自动创建并部署专用 Ingress 控制器。 此外，将创建 Ingress 控制器服务以使用 IP 地址 (经典集群) 或 VPC 主机名 (VPC 集群) 来公开 Ingress 控制器。

   oc create -f private.yaml -n openshift-ingress-operator
   

4. 获取 router-private 服务的 EXTERNAL IP 字段中的 IP 地址或 VPC 主机名。

   oc get svc router-private -n openshift-ingress
   

   经典集群的输出示例：

   NAME                         TYPE           CLUSTER-IP       EXTERNAL-IP    PORT(S)                      AGE
   router-private               LoadBalancer   172.21.57.132    10.XX.XX.XX    80/TCP,443/TCP,1940/TCP      3m
   

   VPC 集群的输出示例：

   NAME                         TYPE           CLUSTER-IP       EXTERNAL-IP                             PORT(S)                      AGE
   router-private               LoadBalancer   172.21.57.132    1234abcd-us-south.lb.appdomain.cloud    80/TCP,443/TCP,1940/TCP      3m
   

5. 向步骤 1 中选择的域注册服务的外部 IP 地址或 VPC 主机名。

   • 定制域，经典或 VPC 集群: 使用 DNS 提供程序将服务的外部 IP 地址添加为映射到定制域的 A 记录 (经典集群) 或 VPC 主机名作为 CNAME (VPC 集群)。
   • IBM提供的域，仅 VPC 集群: 为服务的 VPC 主机名创建 DNS 条目。 运行以下命令时，将自动生成在步骤 2 中指定的子域，并向 Ingress 控制器服务注册该子域。

     ibmcloud oc nlb-dns create vpc-gen2 --cluster <cluster_name_or_ID> --lb-host <router_VPC_hostname>
     

6. 可选: 如果要使用 Ingress 控制器分片，以便特定路由由特定 Ingress 控制器处理 (例如，仅允许专用路由进入专用路由器)，那么可以使用路由标签或名称空间标签来指定分片方法。 要在创建期间添加选择器，请将其包含在 spec 下的 ingresscontroller yaml 中。 例如，要允许 Ingress 控制器仅处理标签为 type=sharded 的入口/路由，可以添加 routeSelector。 有关更多信息，请参阅 Ingress 控制器分片。

     routeSelector:
       matchLabels:
         type: sharded
   

   1. 要向现有 Ingress 控制器添加选择器，请获取 Ingress 控制器的列表。

      oc get ingresscontroller -n openshift-ingress-operator
      

   2. 将选择器添加到要在其中使用分片的 Ingress 控制器。

      oc patch  -n openshift-ingress-operator IngressController/<name>   --type='merge'   -p '{"spec":{"routeSelector":{"matchLabels":{"type":"sharded"}}}}'
      

   3. 请注意，没有向默认 IngressController, 添加选择器，因此所有路由仍会被接入群集上的默认 Ingress 控制器。 您可以使用相关路由或名称空间标签选择器来更改此行为。 例如，要调整缺省路由器以跳过标签为 type=sharded 的入口/路由，请运行以下 patch 命令。

      oc patch -n openshift-ingress-operator IngressController/default --type='merge'   -p '{"spec":{"routeSelector":{"matchExpressions":[{"key":"type","operator":"NotIn","values":["sharded"]}]}}}'
      

7. 为应用程序部署创建 Kubernetes ClusterIP 服务。 该服务为 Ingress 控制器可将流量发送到的应用程序提供内部 IP 地址。

   oc expose deploy <app_deployment_name> --name <app_service_name> -n <app_project>
   

8. 设置基于应用程序需要的 TLS 终止类型 的路由。 指定在步骤 5 中设置的主机名。

   • 简单:

     oc expose service <app_service_name> --hostname <subdomain>
     

   • 传递:

     oc create route passthrough --service <app_service_name> --hostname <subdomain>
     

     需要处理 HTTP/2 连接吗? 创建路由后，运行 oc edit route <app_service_name> 并将路由的 targetPort 值更改为 https。 您可以通过运行 curl -I --http2 https://<route> --insecure 来测试路由。
   • Edge: 如果使用定制域，请包含 --cert 和 --key 选项以及 (可选) --ca-cert 选项。 有关 TLS 证书需求的更多信息，请参阅 Red Hat OpenShift 边缘路由文档。

     oc create route edge --service <app_service_name> --hostname <subdomain> [--cert <tls.crt> --key <tls.key> --ca-cert <ca.crt>]
     

   • 重新加密: 如果使用定制域，请包含 --cert 和 --key 选项以及 (可选) --ca-cert 选项。 有关 TLS 证书需求的更多信息，请参阅 Red Hat OpenShift 重新加密路由文档。

     oc create route reencrypt --service <app_service_name> --dest-ca-cert <destca.crt> --hostname <subdomain> [--cert <tls.crt> --key <tls.key> --ca-cert <ca.crt>]
     

9. 验证是否已创建应用程序的路径。

   oc get routes
   

10. 可选: 使用 可选配置定制专用 Ingress 控制器的路由规则。 例如，您可以使用 特定于路由的 HAProxy 注释。

11. 要使用同一子域为更多应用程序创建路径，可以重复步骤 7-10，以便由同一专用 Ingress 控制器生成该路径。 如果要使用其他子域为更多应用程序创建路径，请重复此部分中的所有步骤以创建新的专用 Ingress 控制器。

在仅具有私有云服务端点的 VPC 集群中设置私有路由

如果集群是在 VPC 基础结构上创建的，并且在集群创建期间启用了唯一的私有云服务端点，那么缺省情况下将使用专用 Ingress 控制器创建集群。 您可以使用此 Ingress 控制器为应用程序创建专用路径。

1. 为应用程序部署创建 Kubernetes ClusterIP 服务。 该服务为 Ingress 控制器可将流量发送到的应用程序提供内部 IP 地址。

   oc expose deploy <app_deployment_name> --name my-app-svc
   

2. 选择应用程序的域。

   • IBM提供的域: 如果不需要定制域，将以 <service_name>-<project>.<cluster_name>-<random_hash>-0000.<region>.containers.appdomain.cloud 格式为您生成路由子域。
   • 定制域: 要指定定制域，请使用 DNS 提供程序或 IBM Cloud® Internet Services。

     1. 获取 EXTERNAL-IP 列中每个专区中专用 Ingress 控制器服务的外部 IP 地址。 请注意，具有工作程序节点的第一个专区中的 Ingress 控制器服务始终命名为 router-default，而随后添加到集群的专区中的 Ingress 控制器服务具有诸如 router-dal12 之类的名称。

        oc get svc -n openshift-ingress
        

     2. 通过 DNS 提供商创建自定义域名。 如果要将同一子域用于集群中的多个服务，那么可以注册通配符子域，例如 *.example.com。

     3. 通过添加 IP 地址作为 A 记录，将定制域映射到 Ingress 控制器服务的专用 IP 地址。

3. 根据应用程序需要的 TLS 终止类型 设置路由。 如果您没有定制域，请不要包含 --hostname 选项。 将为您生成格式为 <service_name>-<project>.<cluster_name>-<random_hash>-0000.<region>.containers.appdomain.cloud 的路由子域。 如果已注册通配符子域，请在创建的每个路由中指定唯一的子域。 例如，可以在此路由中指定 --hostname svc1.example.com，在另一个路由中指定 --hostname svc2.example.com。

   • 简单:

     oc expose service <app_service_name> [--hostname <subdomain>]
     

   • 传递:

     oc create route passthrough --service <app_service_name> [--hostname <subdomain>]
     

     需要处理 HTTP/2 连接吗? 创建路由后，运行 oc edit route <app_service_name> 并将路由的 targetPort 值更改为 https。 您可以通过运行 curl -I --http2 https://<route> --insecure 来测试路由。

   • Edge: 如果使用定制域，请包括 --hostname，--cert 和 --key 选项以及 (可选) --ca-cert 选项。 有关 TLS 证书需求的更多信息，请参阅 Red Hat OpenShift 边缘路由文档。

     oc create route edge --service <app_service_name> [--hostname <subdomain> --cert <tls.crt> --key <tls.key> --ca-cert <ca.crt>]
     

   • 重新加密: 如果使用定制域，请包括 --hostname，--cert 和 --key 选项以及 (可选) --ca-cert 选项。 有关 TLS 证书需求的更多信息，请参阅 Red Hat OpenShift 重新加密路由文档。

     oc create route reencrypt --service <app_service_name> --dest-ca-cert <destca.crt> [--hostname <subdomain> --cert <tls.crt> --key <tls.key> --ca-cert <ca.crt>]
     

4. 验证是否已创建应用程序服务的路径。

   oc get routes
   

5. 可选: 使用 可选配置定制缺省路由规则。 例如，您可以使用 特定于路由的 HAProxy 注释。