在 Red Hat OpenShift 4 中使用路徑公開應用程式

經典單區域叢集中的流量流動

下圖說明了路由器如何將來自網際網路的網路流量導向單一區域的經典叢集中的應用程式。

1. 對應用程式的要求會使用您為應用程式設定的路徑主機名稱。

2. DNS 服務會將該子網域解析為路由器服務的可攜式公網 IP 位址。

3. 路由器接收該請求，並透過私有網路將其轉發至應用程式 Pod 的私有 IP 位址。 請求封包的來源 IP 位址已變更為執行路由器 Pod 的工作節點的公開 IP 位址。 若在叢集中部署了多個應用程式執行個體，路由器會將請求在各應用程式 Pod 之間進行分發。

4. 當應用程式傳回回應封包時，它會使用轉發客戶端請求的路由器所處的工作節點之 IP 位址。 然後，路由器會透過負載平衡器服務將回應封包傳送至用戶端。

經典多區域叢集中的流量流動

下圖說明了路由器如何在多區域的經典叢集環境中，將來自網際網路的網路流量導向某個應用程式。

1. 對應用程式的要求會使用您為應用程式設定的路徑主機名稱。

2. DNS 服務會將路由子網域解析為多區域負載平衡器 (MZLB) 報告為性能良好的路由器服務的可攜式公用 IP 位址。 MZLB 會持續檢查您叢集內各區域中，那些將路由器對外公開的服務所使用的可攜式公共 IP 位址。 各區域中的路由器服務會以輪詢方式處理請求。

3. 根據路由器服務的已解析 IP 位址，路由器會接收要求。

4. 路由器會透過私有網路，將該請求轉發至應用程式 Pod 的私有 IP 位址。 請求封包的來源 IP 位址已變更為執行路由器 Pod 的工作節點的公開 IP 位址。 每個路由器會將請求傳送至其所在區域內的應用程式實例，以及其他區域內的應用程式實例。 此外，如果在一個區域中部署多個應用程式實例，則路由器會在應用程式 Pod 之間交換要求。

5. 當應用程式傳回回應封包時，它會使用轉發客戶端請求的路由器所處的工作節點之 IP 位址。 然後，路由器會透過負載平衡器服務將回應封包傳送至用戶端。

具有公用雲端服務端點的多區域 VPC 叢集裡的資料傳輸流

當您建立已啟用公用雲端服務端點的多區域 VPC 叢集時，依預設會建立公用 Ingress 控制器。 Ingress 控制器會為應用程式指派可公開存取的路徑，並在公用主機網路介面上接聽應用程式的要求。

下圖說明了 Ingress 控制器如何將來自網際網路的網路流量導向多區域 VPC 叢集中的應用程式。

1. 對應用程式的要求會使用您為應用程式設定的路徑主機名稱。

2. DNS 服務會將路徑子網域解析為指派給 Ingress 控制器服務的 VPC 負載平衡器主機名稱。 在 VPC 叢集裡，Ingress 控制器服務的外部 IP 位址是浮動的，並且保留在 VPC 指派的主機名稱後面。

3. VPC 負載平衡器會將 VPC 主機名稱解析為報告為性能良好的 Ingress 控制器服務的可用外部 IP 位址。 VPC 負載平衡器會持續檢查叢集裡每個區域中公開 Ingress 控制器之服務的外部 IP 位址。

4. 根據已解析的 IP 位址，VPC 負載平衡器會將要求傳送至 Ingress 控制器服務。

5. Ingress 控制器會透過私有網路，將請求轉發至應用程式 Pod 的私有 IP 位址。 請求封包的來源 IP 位址會變更為 Ingress 控制器 Pod 所執行的工作節點的 IP 位址。 每個 Ingress 控制器都會向其所在區域內的應用程式實例，以及其他區域內的應用程式實例發送請求。 此外，如果在一個區域中部署多個應用程式實例，則 Ingress 控制器會在應用程式 Pod 之間交換要求。

6. 當應用程式傳回回應封包時，它會使用轉發客戶端請求的 Ingress 控制器所在的工作節點的 IP 位址。 然後，Ingress 控制器會透過 VPC 負載平衡器將回應封包傳送至用戶端。

多區域 VPC 叢集裡僅具有專用雲端服務端點的資料傳輸流

當您建立僅具有專用雲端服務端點的多區域 VPC 叢集時，依預設會建立專用 Ingress 控制器。 Ingress 控制器會為您的應用程式指派專用可存取的路徑，並在專用主機網路介面上接聽。 只有連接至專用 VPC 網路的用戶端才能存取專用路徑所公開的應用程式。

下圖顯示 Ingress 控制器如何將網路資料流量從專用網路引導至多區域 VPC 叢集裡的應用程式。

1. 連接至專用 VPC 網路的用戶端會使用應用程式的專用路徑，將要求傳送至應用程式。 例如，您可以使用 Virtual Private Cloud VPN、IBM Cloud Transit Gateway或 IBM Cloud Direct Link，以容許來自內部部署網路、另一個 VPC 或 IBM Cloud 標準基礎架構的要求至叢集裡執行的應用程式。

2. DNS 服務會將路徑子網域解析為指派給 Ingress 控制器服務的 VPC 負載平衡器主機名稱。 在 VPC 叢集裡，Ingress 控制器服務的 IP 位址是浮動的，並且保留在 VPC 指派的主機名稱後面。 請注意，雖然路徑子網域的 DNS 記錄已登錄在公用 DNS 系統中，但可以從 VPC 存取 DNS 解析伺服器。

3. 專用 VPC 負載平衡器會將 VPC 主機名稱解析為報告為性能良好的 Ingress 控制器服務的可用專用 IP 位址。 VPC 負載平衡器會持續檢查叢集裡每個區域中公開 Ingress 控制器之服務的 IP 位址。

4. 根據已解析的 IP 位址，VPC 負載平衡器會將要求傳送至 Ingress 控制器服務。

5. Ingress 控制器會透過私有網路，將請求轉發至應用程式 Pod 的私有 IP 位址。 請求封包的來源 IP 位址會變更為 Ingress 控制器 Pod 所執行的工作節點的 IP 位址。 每個 Ingress 控制器都會向其所在區域內的應用程式實例，以及其他區域內的應用程式實例發送請求。 此外，如果在一個區域中部署多個應用程式實例，則 Ingress 控制器會在應用程式 Pod 之間交換要求。

6. 當應用程式傳回回應封包時，它會使用轉發客戶端請求的 Ingress 控制器所在的工作節點的 IP 位址。 然後，Ingress 控制器會透過 VPC 負載平衡器並透過 IBM Cloud VPC VPN、Transit Gateway或 Direct Link 將回應封包傳送至用戶端。

使用公用雲端服務端點在標準叢集或 VPC 叢集裡設定公用路徑

如果在標準基礎架構上建立叢集，或者如果在 VPC 基礎架構上建立叢集並在叢集建立期間啟用公用雲端服務端點，則依預設會使用公用 Ingress 控制器來建立叢集。 您可以使用此 Ingress 控制器來建立應用程式的公用路徑。

1. 為應用程式部署建立 Kubernetes ClusterIP 服務。 服務提供 Ingress 控制器可以將資料流量傳送至其中之應用程式的內部 IP 位址。

   oc expose deploy <app_deployment_name> --name my-app-svc
   

2. 選擇應用程式的網域。 請注意，路徑 URL 必須等於或小於 130 個字元 IBM提供的網域: 如果您不需要使用自訂網域，則會以 <service_name>-<project>.<cluster_name>-<random_hash>-0000.<region>.containers.appdomain.cloud 格式為您產生路徑主機名稱。 自訂網域: 若要指定自訂網域，請使用 DNS 提供者或 IBM Cloud® Internet Services。

   1. 取得 EXTERNAL-IP 直欄中每個區域中公用 Ingress 控制器服務的公用 IP 位址。 請注意，第一個具有工作者節點之區域中的 Ingress 控制器服務一律命名為 router-default，而後續新增至叢集之區域中的 Ingress 控制器服務一律具有 router-dal12 之類的名稱。

       oc get svc -n openshift-ingress
       ```
   1. 請透過您的 DNS 服務供應商建立自訂網域。
           如果您想要對叢集裡的多個服務使用相同的子網域，則可以登錄萬用字元子網域，例如 `*.example.com`。
   {: tip}
   
   1. 透過將 IP 位址新增為 A 記錄，將自訂網域對映至 Ingress 控制器的公用 IP 位址。
   
   

3. 根據 您的應用程式所需的 TLS 終止類型 設定路由。 如果您沒有自訂網域，請不要包含 --hostname 選項。 會以 <service_name>-<project>.<cluster_name>-<random_hash>-0000.<region>.containers.appdomain.cloud 格式為您產生路徑主機名稱。 如果您已登錄萬用字元子網域，請在您建立的每一個路徑中指定唯一子網域。 例如，您可以在此路徑中指定 --hostname svc1.example.com，並在另一個路徑中指定 --hostname svc2.example.com。

   • 簡式:

       oc expose service <app_service_name> [--hostname <subdomain>]
       ```
   * 透通:
   ```sh {: pre}
       oc create route passthrough --service <app_service_name> [--hostname <subdomain>]
       ```
       需要處理 HTTP/2 連線嗎? 建立路徑之後，請執行 `oc edit route <app_service_name>`，並將路徑的 `targetPort` 值變更為 `https`。 您可以執行 `curl -I --http2 https://<route> --insecure` 來測試路徑。
   * Edge: 如果您使用自訂網域，請包括 `--hostname`、`--cert` 和 `--key` 選項，以及選擇性地包括 `--ca-cert` 選項。 如需 TLS 證書要求的詳細資訊，請參閱 [Red Hat OpenShift 邊緣路由文件](https://docs.redhat.com/en/documentation/openshift_container_platform/4.21/html/ingress_and_load_balancing/routes#nw-ingress-creating-an-edge-route-with-a-custom-certificate_secured-routes){: external}。
   ```sh {: pre}
       oc create route edge --service <app_service_name> [--hostname <subdomain> --cert <tls.crt> --key <tls.key> --ca-cert <ca.crt>]
       ```
   * 重新加密: 如果您使用自訂網域，請包含 `--hostname`、`--cert` 和 `--key` 選項，以及選擇性地包含 `--ca-cert` 選項。 有關 TLS 憑證要求的詳細資訊，請參閱 [Red Hat OpenShift re-encrypt route 文件](https://docs.redhat.com/en/documentation/openshift_container_platform/4.21/html/ingress_and_load_balancing/routes#nw-ingress-creating-a-reencrypt-route-with-a-custom-certificate_secured-routes){: external}。
   ```sh {: pre}
       oc create route reencrypt --service <app_service_name> --dest-ca-cert <destca.crt> [--hostname <subdomain> --cert <tls.crt> --key <tls.key> --ca-cert <ca.crt>]
       ```
   

4. 驗證已建立應用程式服務的路徑。

   oc get routes
   

5. 選用項目: 使用 選用配置來自訂預設遞送規則。 例如，您可以使用特定於路由的 HAProxy 註解。

僅使用專用雲端服務端點在 VPC 叢集裡設定公用路徑

如果在 VPC 基礎架構上建立叢集，並且在叢集建立期間僅啟用專用雲端服務端點，則依預設只會使用專用路由器來建立叢集。 若要公開展示您的應用程式，您必須先建立一個公開 IngressController 資源，並為其設定一個子網域。 Ingress 操作員會根據您提供的配置，自動建立並設定新的公共 IngressController, Ingress 控制器，您可藉此為應用程式建立公共路由。

請注意，即使您在下列步驟中建立 IngressController 資源，IngressController 也只需要為您建立並配置必要的 Ingress 控制器。 建立 Ingress 控制器之後，您可以直接使用 Ingress 控制器來建立路徑。

1. 準備您要用於 Ingress 控制器的網域。

   • 自訂網域: 若要登錄自訂網域，請使用您的「網域名稱服務 (DNS)」提供者或 IBM Cloud DNS。 如果您想要對叢集裡的多個服務使用相同的子網域，則可以登錄萬用字元子網域，例如 *.example.com。 如果您使用自訂網域，則還必須在 IngressController 規格中指定網域憑證。 如需相關資訊，請參閱 設定自訂預設憑證
   • IBM提供的網域:
     1. 列出叢集裡的現有子網域。 在輸出的 子網域 直欄中，複製具有最高 000<n> 值的子網域。

        ibmcloud oc nlb-dns ls --cluster CLUSTER_NAME_OR_ID
        

        在此範例輸出中， mycluster-a1b2cdef345678g9hi012j3kl4567890-0002.us-south.containers.appdomain.cloud 子網域具有最高 000<n> 值 0002。

        Subdomain                                                                               Load Balancer Hostname                        Health Monitor   SSL Cert Status           SSL Cert Secret Name
        mycluster-a1b2cdef345678g9hi012j3kl4567890-0000.us-south.containers.appdomain.cloud     ["1234abcd-us-south.lb.appdomain.cloud"]      None             created                   mycluster-a1b2cdef345678g9hi012j3kl4567890-0000
        mycluster-a1b2cdef345678g9hi012j3kl4567890-0001.us-south.containers.appdomain.cloud     ["5678efgh-us-south.lb.appdomain.cloud"]      None             created                   mycluster-a1b2cdef345678g9hi012j3kl4567890-0001
        mycluster-a1b2cdef345678g9hi012j3kl4567890-0002.us-south.containers.appdomain.cloud     ["9012ijkl-us-south.lb.appdomain.cloud"]      None             created                   mycluster-a1b2cdef345678g9hi012j3kl4567890-0002
        

     2. 在您複製的子網域中，將子網域中的 000<n> 值變更為 000<n+1>。 例如，mycluster-a1b2cdef345678g9hi012j3kl4567890-0002.us-south.containers.appdomain.cloud 子網域變更為 mycluster-a1b2cdef345678g9hi012j3kl4567890-0003.us-south.containers.appdomain.cloud。 您可以在後續步驟中登錄此子網域。

2. 建立 YAML 檔案，以使用步驟 1 中的網域來配置公用 Ingress 控制器。

   apiVersion: operator.openshift.io/v1
   kind: IngressController
   metadata:
     name: public
     namespace: openshift-ingress-operator
   spec:
     # defaultCertificate: If you are using a custom domain, specify the domain certificate
       # name: custom-certs-default
     replicas: 2
     domain: <domain>
     endpointPublishingStrategy:
       loadBalancer:
         scope: External
       type: LoadBalancerService
   

3. 在叢集的 openshift-ingress-operator 名稱空間中建立 IngressController 資源。 當您建立IngressController,會根據IngressController設定自動建立公共 Ingress 控制器並將其部署在 openshift-ingress 命名空間中。 此外，還會建立 Ingress 控制器服務，以公開 Ingress 控制器。

   oc create -f public.yaml -n openshift-ingress-operator
   

4. 在 router-public 服務的 外部 IP 欄位中取得 VPC 主機名稱。 在 VPC 叢集裡，路由器服務的外部 IP 位址是浮動的，而是保留在 VPC 指派的主機名稱後面。

   oc get svc router-public -n openshift-ingress
   

   輸出範例

   NAME                         TYPE           CLUSTER-IP       EXTERNAL-IP                             PORT(S)                      AGE
   router-public                LoadBalancer   172.21.57.132    1234abcd-us-south.lb.appdomain.cloud    80/TCP,443/TCP,1940/TCP      3m
   

5. 向您在步驟 1 中選擇的網域登錄服務的 VPC 主機名稱。 此步驟確保 Ingress 控制器服務的 IP 位址 (保留在 VPC 主機名稱後面) 向您為 Ingress 控制器選擇的網域登錄。

   • 自訂網域: 使用 DNS 提供者將服務的 VPC 主機名稱新增為對映至自訂網域的 CNAME。
   • IBM提供的網域: 為服務的 VPC 主機名稱建立 DNS 項目。 當您執行下列指令時，會自動產生您在步驟 2 中指定的子網域，並向 Ingress 控制器服務登錄。

       ibmcloud oc nlb-dns create vpc-gen2 --cluster <cluster_name_or_ID> --lb-host <router_VPC_hostname>
       ```
   

6. 選用: 如果您想要使用 Ingress 控制器分區，以便特定路徑由特定 Ingress 控制器處理 (例如，專用路徑只允許專用路由器使用)，則可以使用路徑標籤或名稱空間標籤來指定分區方法。 若要在建立期間新增選取器，請將它併入 ingresscontroller yaml 中的 spec 下。 例如，若要容許 Ingress 控制器僅處理標籤為 type=sharded 的入口/路徑，您可以新增 routeSelector。 如需相關資訊，請參閱 Ingress 控制器 Shard。

     routeSelector:
       matchLabels:
         type: sharded
   

   1. 若要將選取器新增至現有的 Ingress 控制器，請取得 Ingress 控制器的清單。

       oc get ingresscontroller -n openshift-ingress-operator
       ```
   1. 將選取器新增至您要使用 Shard 處理的 Ingress 控制器。
   
   ```sh {: pre}
       oc patch  -n openshift-ingress-operator IngressController/<name>   --type='merge'   -p '{"spec":{"routeSelector":{"matchLabels":{"type":"sharded"}}}}'
       ```
   
   1. 請注意，沒有選擇器新增至預設IngressController,因此所有路由仍允許進入叢集上的預設 Ingress 控制器。 您可以使用相關路徑或名稱空間標籤選取元來變更此行為。 例如，若要調整預設路由器以跳過標籤為 `type=sharded` 的進入/路徑，請執行下列修補程式指令。
   ```sh {: pre}
       oc patch -n openshift-ingress-operator IngressController/default --type='merge'   -p '{"spec":{"routeSelector":{"matchExpressions":[{"key":"type","operator":"NotIn","values":["sharded"]}]}}}'
       ```
       叢集上的數個路徑及 Ingresses 取決於預設公用 Ingress 控制器。 在編輯預設 Ingress 控制器之前，請確定變更是正確的。 如需的相關資訊，請參閱 [Ingress 控制器 Shard](https://docs.redhat.com/en/documentation/openshift_container_platform/4.21/html/networking_overview/index#nw-ingress-sharding_configuring-ingress){: external}。
       {: note}
   
   
   

7. 為應用程式部署建立 Kubernetes ClusterIP 服務。 服務提供 Ingress 控制器可以將資料流量傳送至其中之應用程式的內部 IP 位址。

   oc expose deploy <app_deployment_name> --name <app_service_name> -n <app_project>
   

8. 根據 您的應用程式所需的 TLS 終止類型 設定路由。 如果不包含 --hostname 選項，則會以 <app_service_name>-<app_project>.<router-subdomain> 格式為您產生路徑主機名稱。

   • 簡式:

       oc expose service <app_service_name> [--hostname <subdomain>]
       ```
   * 透通:
   ```sh {: pre}
       oc create route passthrough --service <app_service_name> [--hostname <subdomain>]
       ```
       需要處理 HTTP/2 連線嗎? 建立路徑之後，請執行 `oc edit route <app_service_name>`，並將路徑的 `targetPort` 值變更為 `https`。 您可以執行 `curl -I --http2 https://<route> --insecure` 來測試路徑。
   * Edge: 如果您使用自訂網域，請包括 `--hostname`、`--cert` 和 `--key` 選項，以及選擇性地包括 `--ca-cert` 選項。 如需 TLS 證書要求的詳細資訊，請參閱 [Red Hat OpenShift 邊緣路由文件](https://docs.redhat.com/en/documentation/openshift_container_platform/4.21/html/ingress_and_load_balancing/routes#nw-ingress-creating-an-edge-route-with-a-custom-certificate_secured-routes){: external}。
   ```sh {: pre}
       oc create route edge --service <app_service_name> [--hostname <subdomain> --cert <tls.crt> --key <tls.key> --ca-cert <ca.crt>]
       ```
   * 重新加密: 如果您使用自訂網域，請包含 `--hostname`、`--cert` 和 `--key` 選項，以及選擇性地包含 `--ca-cert` 選項。 有關 TLS 憑證要求的詳細資訊，請參閱 [Red Hat OpenShift re-encrypt route 文件](https://docs.redhat.com/en/documentation/openshift_container_platform/4.21/html/ingress_and_load_balancing/routes#nw-ingress-creating-a-reencrypt-route-with-a-custom-certificate_secured-routes){: external}。
   ```sh {: pre}
       oc create route reencrypt --service <app_service_name> --dest-ca-cert <destca.crt> [--hostname <subdomain> --cert <tls.crt> --key <tls.key> --ca-cert <ca.crt>]
       ```
   

9. 驗證已建立應用程式的路徑。

   oc get routes
   

10. 選用項目: 使用 選用配置自訂公用 Ingress 控制器的遞送規則。 例如，您可以使用特定於路由的 HAProxy 註解。

11. 若要使用相同的子網域來建立更多應用程式的路徑，您可以重複步驟 7-10，以便由相同的公用 Ingress 控制器產生路徑。 如果您想要使用不同的子網域來建立更多應用程式的路徑，請重複本節中的所有步驟，以建立具有不同網域的新公用 Ingress 控制器。

使用公用雲端服務端點在標準叢集或 VPC 叢集裡設定專用路徑

如果在標準基礎架構上建立叢集，或者如果在 VPC 基礎架構上建立叢集並在叢集建立期間啟用公用雲端服務端點，則依預設只會使用公用 Ingress 控制器來建立叢集。 若要將應用程式設為私有公開，您必須先建立私有 IngressController 資源，並使用子網域對控制器進行設定。 Ingress 操作器會自動建立並配置新的專用 Ingress 控制器，您可以使用該控制器來建立應用程式的專用路徑。

請注意，即使您在下列步驟中建立 IngressController 資源，IngressController 資源也只需要為您建立及配置必要的 Ingress 控制器。 建立 Ingress 控制器之後，您可以直接使用路由器來建立路徑。

1. 準備您要用於 Ingress 控制器的網域。

   • 自訂網域、標準或 VPC 叢集: 若要登錄自訂網域，請使用「網域名稱服務 (DNS)」提供者或 IBM Cloud DNS。 如果您想要對叢集裡的多個服務使用相同的子網域，則可以登錄萬用字元子網域，例如 *.example.com。
   • IBM提供的網域，僅限 VPC 叢集:
     1. 列出叢集裡的現有子網域。 在輸出的 子網域 直欄中，複製具有最高 000<n> 值的子網域。

        ibmcloud oc nlb-dns ls --cluster <cluster_name_or_id>
        

        在此範例輸出中， mycluster-a1b2cdef345678g9hi012j3kl4567890-0002.us-south.containers.appdomain.cloud 子網域具有最高 000<n> 值 0002。

        Subdomain                                                                               Load Balancer Hostname                        Health Monitor   SSL Cert Status           SSL Cert Secret Name
        mycluster-a1b2cdef345678g9hi012j3kl4567890-0000.us-south.containers.appdomain.cloud     ["1234abcd-us-south.lb.appdomain.cloud"]      None             created                   mycluster-a1b2cdef345678g9hi012j3kl4567890-0000
        mycluster-a1b2cdef345678g9hi012j3kl4567890-0001.us-south.containers.appdomain.cloud     ["5678efgh-us-south.lb.appdomain.cloud"]      None             created                   mycluster-a1b2cdef345678g9hi012j3kl4567890-0001
        mycluster-a1b2cdef345678g9hi012j3kl4567890-0002.us-south.containers.appdomain.cloud     ["9012ijkl-us-south.lb.appdomain.cloud"]      None             created                   mycluster-a1b2cdef345678g9hi012j3kl4567890-0002
        

     2. 在您複製的子網域中，將子網域中的 000<n> 值變更為 000<n+1>。 例如，mycluster-a1b2cdef345678g9hi012j3kl4567890-0002.us-south.containers.appdomain.cloud 子網域變更為 mycluster-a1b2cdef345678g9hi012j3kl4567890-0003.us-south.containers.appdomain.cloud。 您可以在後續步驟中登錄此子網域。

2. 建立配置檔，以使用步驟 1 中的網域來配置專用 Ingress 控制器。

   apiVersion: operator.openshift.io/v1
   kind: IngressController
   metadata:
     name: private
     namespace: openshift-ingress-operator
   spec:
     replicas: 2
     domain: <domain>
     endpointPublishingStrategy:
       loadBalancer:
         scope: Internal
       type: LoadBalancerService
   

3. 在叢集的 openshift-ingress-operator 名稱空間中建立 IngressController 資源。 當您建立 IngressController 資源時，會根據 IngressController 設定，在 openshift-ingress 名稱空間中自動建立及部署專用 Ingress 控制器。 此外，還會建立 Ingress 控制器服務，以使用 IP 位址 (標準叢集) 或 VPC 主機名稱 (VPC 叢集) 來公開 Ingress 控制器。

   oc create -f private.yaml -n openshift-ingress-operator
   

4. 在 router-private 服務的 外部 IP 欄位中取得 IP 位址或 VPC 主機名稱。

   oc get svc router-private -n openshift-ingress
   

   標準叢集的輸出範例：

   NAME                         TYPE           CLUSTER-IP       EXTERNAL-IP    PORT(S)                      AGE
   router-private               LoadBalancer   172.21.57.132    10.XX.XX.XX    80/TCP,443/TCP,1940/TCP      3m
   

   VPC 叢集的輸出範例：

   NAME                         TYPE           CLUSTER-IP       EXTERNAL-IP                             PORT(S)                      AGE
   router-private               LoadBalancer   172.21.57.132    1234abcd-us-south.lb.appdomain.cloud    80/TCP,443/TCP,1940/TCP      3m
   

5. 向您在步驟 1 中選擇的網域登錄服務的外部 IP 位址或 VPC 主機名稱。

   • 自訂網域、標準或 VPC 叢集: 使用 DNS 提供者將服務的外部 IP 位址新增為對映至自訂網域的 A 記錄 (標準叢集) 或 VPC 主機名稱作為 CNAME (VPC 叢集)。
   • IBM提供的網域，僅限 VPC 叢集: 為服務的 VPC 主機名稱建立 DNS 項目。 當您執行下列指令時，會自動產生您在步驟 2 中指定的子網域，並向 Ingress 控制器服務登錄。

       ibmcloud oc nlb-dns create vpc-gen2 --cluster <cluster_name_or_ID> --lb-host <router_VPC_hostname>
       ```
   

6. 選用: 如果您想要使用 Ingress 控制器分區，以便特定路徑由特定 Ingress 控制器處理 (例如，專用路徑只允許專用路由器使用)，則可以使用路徑標籤或名稱空間標籤來指定分區方法。 若要在建立期間新增選取器，請將它併入 ingresscontroller yaml 中的 spec 下。 例如，若要容許 Ingress 控制器僅處理標籤為 type=sharded 的入口/路徑，您可以新增 routeSelector。 如需相關資訊，請參閱 Ingress 控制器 Shard。

     routeSelector:
       matchLabels:
         type: sharded
   

   1. 若要將選取器新增至現有的 Ingress 控制器，請取得 Ingress 控制器的清單。

       oc get ingresscontroller -n openshift-ingress-operator
       ```
   1. 將選取器新增至您要使用 Shard 處理的 Ingress 控制器。
   
   ```sh {: pre}
       oc patch  -n openshift-ingress-operator IngressController/<name>   --type='merge'   -p '{"spec":{"routeSelector":{"matchLabels":{"type":"sharded"}}}}'
       ```
   
   1. 請注意，沒有選擇器新增至預設IngressController,因此所有路由仍允許進入叢集上的預設 Ingress 控制器。 您可以使用相關路徑或名稱空間標籤選取元來變更此行為。 例如，若要調整預設路由器以跳過標籤為 `type=sharded` 的進入/路徑，請執行下列修補程式指令。
   ```sh {: pre}
       oc patch -n openshift-ingress-operator IngressController/default --type='merge'   -p '{"spec":{"routeSelector":{"matchExpressions":[{"key":"type","operator":"NotIn","values":["sharded"]}]}}}'
       ```
   

7. 為應用程式部署建立 Kubernetes ClusterIP 服務。 服務提供 Ingress 控制器可以將資料流量傳送至其中之應用程式的內部 IP 位址。

   oc expose deploy <app_deployment_name> --name <app_service_name> -n <app_project>
   

8. 根據 您的應用程式所需的 TLS 終止類型 設定路由。 指定您在步驟 5 中設定的主機名稱。

   • 簡式:

       oc expose service <app_service_name> --hostname <subdomain>
       ```
   * 透通:
   ```sh {: pre}
       oc create route passthrough --service <app_service_name> --hostname <subdomain>
       ```
       需要處理 HTTP/2 連線嗎? 建立路徑之後，請執行 `oc edit route <app_service_name>`，並將路徑的 `targetPort` 值變更為 `https`。 您可以執行 `curl -I --http2 https://<route> --insecure` 來測試路徑。
   * Edge: 如果您使用自訂網域，請包含 `--cert` 和 `--key` 選項，以及選擇性地包含 `--ca-cert` 選項。 如需 TLS 證書要求的詳細資訊，請參閱 [Red Hat OpenShift 邊緣路由文件](https://docs.redhat.com/en/documentation/openshift_container_platform/4.21/html/ingress_and_load_balancing/routes#nw-ingress-creating-an-edge-route-with-a-custom-certificate_secured-routes){: external}。
   ```sh {: pre}
       oc create route edge --service <app_service_name> --hostname <subdomain> [--cert <tls.crt> --key <tls.key> --ca-cert <ca.crt>]
       ```
   * 重新加密: 如果您使用自訂網域，請包含 `--cert` 和 `--key` 選項，以及選擇性地包含 `--ca-cert` 選項。 有關 TLS 憑證要求的詳細資訊，請參閱 [Red Hat OpenShift re-encrypt route 文件](https://docs.redhat.com/en/documentation/openshift_container_platform/4.21/html/ingress_and_load_balancing/routes#nw-ingress-creating-a-reencrypt-route-with-a-custom-certificate_secured-routes){: external}。
   ```sh {: pre}
       oc create route reencrypt --service <app_service_name> --dest-ca-cert <destca.crt> --hostname <subdomain> [--cert <tls.crt> --key <tls.key> --ca-cert <ca.crt>]
       ```
   

9. 驗證已建立應用程式的路徑。

   oc get routes
   

10. 選用項目: 使用 選用配置自訂專用 Ingress 控制器的遞送規則。 例如，您可以使用特定於路由的 HAProxy 註解。

11. 若要使用相同的子網域來建立更多應用程式的路徑，您可以重複步驟 7-10，以便由相同的專用 Ingress 控制器產生路徑。 如果您想要使用不同的子網域來建立更多應用程式的路徑，請重複本節中的所有步驟，以建立新的專用 Ingress 控制器。

僅使用專用雲端服務端點在 VPC 叢集裡設定專用路徑

如果在 VPC 基礎架構上建立叢集，並且在叢集建立期間啟用了唯一專用雲端服務端點，則依預設會使用專用 Ingress 控制器來建立叢集。 您可以使用此 Ingress 控制器來建立應用程式的專用路徑。

1. 為應用程式部署建立 Kubernetes ClusterIP 服務。 服務提供 Ingress 控制器可以將資料流量傳送至其中之應用程式的內部 IP 位址。

   oc expose deploy <app_deployment_name> --name my-app-svc
   

2. 選擇應用程式的網域。

   • IBM提供的網域: 如果您不需要自訂網域，則會以 <service_name>-<project>.<cluster_name>-<random_hash>-0000.<region>.containers.appdomain.cloud 格式為您產生路由子網域。
   • 自訂網域: 若要指定自訂網域，請使用 DNS 提供者或 IBM Cloud® Internet Services。

     1. 在 EXTERNAL-IP 直欄中取得每個區域中專用 Ingress 控制器服務的外部 IP 位址。 請注意，第一個具有工作者節點之區域中的 Ingress 控制器服務一律命名為 router-default，而後續新增至叢集之區域中的 Ingress 控制器服務一律具有 router-dal12 之類的名稱。

        oc get svc -n openshift-ingress
        

     2. 請透過您的 DNS 服務供應商建立自訂網域。 如果您想要對叢集裡的多個服務使用相同的子網域，則可以登錄萬用字元子網域，例如 *.example.com。

     3. 透過將 IP 位址新增為 A 記錄，將自訂網域對映至 Ingress 控制器服務的專用 IP 位址。

3. 根據 您的應用程式所需的 TLS 終止類型 設定路由。 如果您沒有自訂網域，請不要包含 --hostname 選項。 會為您產生路徑子網域，格式為 <service_name>-<project>.<cluster_name>-<random_hash>-0000.<region>.containers.appdomain.cloud。 如果您已登錄萬用字元子網域，請在您建立的每一個路徑中指定唯一子網域。 例如，您可以在此路徑中指定 --hostname svc1.example.com，並在另一個路徑中指定 --hostname svc2.example.com。

   • 簡式:

       oc expose service <app_service_name> [--hostname <subdomain>]
       ```
   * 透通:
   ```sh {: pre}
       oc create route passthrough --service <app_service_name> [--hostname <subdomain>]
       ```
       需要處理 HTTP/2 連線嗎? 建立路徑之後，請執行 `oc edit route <app_service_name>`，並將路徑的 `targetPort` 值變更為 `https`。 您可以執行 `curl -I --http2 https://<route> --insecure` 來測試路徑。
   
   * Edge: 如果您使用自訂網域，請包括 `--hostname`、`--cert` 和 `--key` 選項，以及選擇性地包括 `--ca-cert` 選項。 如需 TLS 證書要求的詳細資訊，請參閱 [Red Hat OpenShift 邊緣路由文件](https://docs.redhat.com/en/documentation/openshift_container_platform/4.21/html/ingress_and_load_balancing/routes#nw-ingress-creating-an-edge-route-with-a-custom-certificate_secured-routes){: external}。
   ```sh {: pre}
       oc create route edge --service <app_service_name> [--hostname <subdomain> --cert <tls.crt> --key <tls.key> --ca-cert <ca.crt>]
       ```
   * 重新加密: 如果您使用自訂網域，請包含 `--hostname`、`--cert` 和 `--key` 選項，以及選擇性地包含 `--ca-cert` 選項。 有關 TLS 憑證要求的詳細資訊，請參閱 [Red Hat OpenShift re-encrypt route 文件](https://docs.redhat.com/en/documentation/openshift_container_platform/4.21/html/ingress_and_load_balancing/routes#nw-ingress-creating-a-reencrypt-route-with-a-custom-certificate_secured-routes){: external}。
   ```sh {: pre}
       oc create route reencrypt --service <app_service_name> --dest-ca-cert <destca.crt> [--hostname <subdomain> --cert <tls.crt> --key <tls.key> --ca-cert <ca.crt>]
       ```
   

4. 驗證已建立應用程式服務的路徑。

   oc get routes
   

5. 選用項目: 使用 選用配置來自訂預設遞送規則。 例如，您可以使用特定於路由的 HAProxy 註解。