Kubernetes学习笔记——2.4 允许外部访问

by kowen 2018.02.22
本文翻译自Viewing Pods and Nodes

学习目标

• 学习Kubernetes Service
• 了解label和labelSelector对象与服务的关系
• 通过服务允许集群外部访问应用

Kubernetes 服务（Service） 概述

Pod并不是永恒的，它有自己的生命周期。假如Node死掉了，上面运行的Pod也就消失了。但是ReplicationController会创建新的Pod来维持程序运行，使集群回到应该的状态。举个栗子，假设有一个后端图像处理程序，它有3个副本，这些副本可以互相替换。前端系统不会去考虑后端处理程序有几个副本甚至也不用考虑Pod是否死掉或者被重建了。每个Kubernetes中的Pod都有自己独有的IP地址，即时是在同一个Node上的两个Pod也有不同的IP。所以，应该有一种方法自动协调Pod之间的变化，这样应用才能正常运行。
Kubernetes中的服务（Service）是一个抽象的概念，它定义了包含多个Pod逻辑上的组，以及访问它遵从的策略。服务在独立的Pod之间建立了松散的耦合关系。和Kubernetes其他对象一样，服务使用YAML或者JSON定义。通常服务通过LabelSelector来指定哪些Pod在集合中。
尽管每个Pod都有自己的独立IP，但是这些IP并不暴露给外部，只有通过服务才能将它们暴露出去。服务让你的应用可以和外部通讯。有好几种方式实现，方法是设置ServiceSpec的type属性：

• ClusterIP（默认） 通过一个内部IP地址暴露服务，只能在集群内访问
• NodePort 使用NAT，通过与Node相同的出口暴露服务。通过<NodeIP>:<NodePort>在集群外访问Service。是ClusterIP的超集。
• LoadBalancer 创建一个外部负载均衡器，给服务分配一个固定的外部地址。是NodePort的超集
• ExternalName 使用externalName参数给服务起一个任意的名称，自动返回一个该名称的CNAME。需要版本V1.7及以上的kube-dns。

注意还有很多时候使用服务不需要在配置中没有定义Selector。不通过Selector定义的服务也不会创建相应的Endpoint对象。用户可以手动将服务映射到endpoint。另外一种不适用selector的情况就是严格的使用了type:ExternalName。

服务（Service）和Label（标签）

image.png

服务协调一组Pod之间的通讯。通过抽象的服务，允许Pod死亡和复制，而不影响应用。相互独立的Pod（比如应用的前后端组件）的互相查找和路由工作是由服务处理的。

服务通过Label和Selector来匹配一组Pod，Label和Selector都是对Kubernetes内对象进行操作的分组关键字。Label是附加在对象上的key/value键值对，可以通过许多方式使用：

• 指派部署、测试和生产的对象
• 内嵌版本标签

• 使用标签分类对象

  
  
  

  image.png
  
  

  Label可以在对象创建时或者创建后附加，随时可以修改。

交互式学习

创建服务

先来检查一下应用是否运行。使用kubectl get命令查看存在的Pod:

$ kubectl get pods
NAME                                   READY     STATUS    RESTARTS   AGE
kubernetes-bootcamp-5dbf48f7d4-67zmv   1/1       Running   0          1m

查看目前集群中的服务

$ kubectl get services
NAME         TYPE        CLUSTER-IP   EXTERNAL-IP   PORT(S)   AGE
kubernetes   ClusterIP   10.96.0.1    <none>        443/TCP   1m

Minicube启动集群时，会自动创建一个默认的服务，名字叫做kubernetes。为了创建一个新的服务并且允许外部访问，我们需要使用待有关NodePort参数expose命令（Minicube尚不支持LoadBalancer）。

$ kubectl expose deployment/kubernetes-bootcamp --type="NodePort" --port 8080
service "kubernetes-bootcamp" exposed

再次查看服务

$ kubectl get service
NAME                  TYPE        CLUSTER-IP       EXTERNAL-IP   PORT(S)          AGE
kubernetes            ClusterIP   10.96.0.1        <none>        443/TCP          12m
kubernetes-bootcamp   NodePort    10.104.133.170   <none>        8080:32170/TCP   2m

可以看到新建了一个名称为Kubernetes-bootcamp的服务。它有一个独立的cluster-ip，内部端口和外部IP（Node的IP）。

想要查看使用了哪个外部端口，使用describe service命令

$ kubectl describe service
service         serviceaccount
$ kubectl describe service/kubernetes-bootcamp
Name:                     kubernetes-bootcamp
Namespace:                default
Labels:                   run=kubernetes-bootcamp
Annotations:              <none>
Selector:                 run=kubernetes-bootcamp
Type:                     NodePort
IP:                       10.104.133.170
Port:                     <unset>  8080/TCP
TargetPort:               8080/TCP
NodePort:                 <unset>  32170/TCP
Endpoints:                172.18.0.4:8080
Session Affinity:         None
External Traffic Policy:  Cluster
Events:                   <none>

创建一个名为NODE_PORT的环境变量保存Node的端口值：

export NODE_PORT=$(kubectl get services/kubernetes-bootcamp -o go-template='{{(index .spec.ports 0).nodePort}}')
echo NODE_PORT=$NODE_PORT

通过curl命令测试应用是否可以外部访问

$ curl $(minikube ip):$NODE_PORT
Hello Kubernetes bootcamp! | Running on: kubernetes-bootcamp-5dbf48f7d4-67zmv | v=1

使用标签（Label）

部署会为每个Pod自动创建标签。通过describe deployment可以查看标签名称

$ kubectl describe deployment
Name:                   kubernetes-bootcamp
Namespace:              default
CreationTimestamp:      Mon, 26 Feb 2018 06:17:16 +0000
Labels:                 run=kubernetes-bootcamp
Annotations:            deployment.kubernetes.io/revision=1
Selector:               run=kubernetes-bootcamp
Replicas:               1 desired | 1 updated | 1 total | 1 available | 0 unavailable
StrategyType:           RollingUpdate
MinReadySeconds:        0
RollingUpdateStrategy:  1 max unavailable, 1 max surge
Pod Template:
  Labels:  run=kubernetes-bootcamp
  Containers:
   kubernetes-bootcamp:
    Image:        gcr.io/google-samples/kubernetes-bootcamp:v1
    Port:         8080/TCP
    Environment:  <none>
    Mounts:       <none>
  Volumes:        <none>
Conditions:
  Type           Status  Reason
  ----           ------  ------
  Available      True    MinimumReplicasAvailable
OldReplicaSets:  <none>
NewReplicaSet:   kubernetes-bootcamp-5dbf48f7d4 (1/1 replicas created)
Events:
  Type    Reason             Age   From                   Message
  ----    ------             ----  ----                   -------
  Normal  ScalingReplicaSet  28m   deployment-controller  Scaled up replica set kubernetes-bootcamp-5dbf48f7d4 to 1

通过kubectl get pods命令加上-l参数，可以根据标签查询Pod

$ kubectl get pods -l run=kubernetes-bootcamp
NAME                                   READY     STATUS    RESTARTS   AGE
kubernetes-bootcamp-5dbf48f7d4-67zmv   1/1       Running   0          36m

同样也可以查询服务

 kubectl get services -l run=kubernetes-bootcamp
NAME                  TYPE       CLUSTER-IP       EXTERNAL-IP   PORT(S)          AGE
kubernetes-bootcamp   NodePort   10.104.133.170   <none>        8080:32170/TCP   27m

将Pod名称保存到环境变量POD_NAME中

export POD_NAME=$(kubectl get pods -o go-template --template '{{range .items}}{{.metadata.name}}{{"\n"}}{{end}}')
echo Name of the Pod: $POD_NAME

设置新的标签

$ kubectl label pod $POD_NAME app=v1
pod "kubernetes-bootcamp-5dbf48f7d4-67zmv" labeled
$ kubectl describe pods $POD_NAME
Name:           kubernetes-bootcamp-5dbf48f7d4-67zmv
Namespace:      default
Node:           host01/172.17.0.115
Start Time:     Mon, 26 Feb 2018 06:17:20 +0000
Labels:         app=v1
                pod-template-hash=1869049380
                run=kubernetes-bootcamp
Annotations:    <none>
Status:         Running
IP:             172.18.0.4
Controlled By:  ReplicaSet/kubernetes-bootcamp-5dbf48f7d4
Containers:
  kubernetes-bootcamp:
    Container ID:   docker://5538cb2a0b63fcd6c10e253f4acbca9f1672a503ad39e534d2c2e85da305f1a4
    Image:          gcr.io/google-samples/kubernetes-bootcamp:v1
    Image ID:       docker-pullable://jocatalin/kubernetes-bootcamp@sha256:0d6b8ee63bb57c5f5b6156f446b3bc3b3c143d233037f3a2f00e279c8fcc64af
    Port:           8080/TCP
    State:          Running
      Started:      Mon, 26 Feb 2018 06:17:22 +0000
    Ready:          True
    Restart Count:  0
    Environment:    <none>
    Mounts:
      /var/run/secrets/kubernetes.io/serviceaccount from default-token-spkm6 (ro)
Conditions:
  Type           Status
  Initialized    True
  Ready          True
  PodScheduled   True
Volumes:
  default-token-spkm6:
    Type:        Secret (a volume populated by a Secret)
    SecretName:  default-token-spkm6
    Optional:    false
QoS Class:       BestEffort
Node-Selectors:  <none>
Tolerations:     <none>
Events:
  Type     Reason                 Age                From               Message
  ----     ------                 ----               ----               -------
  Warning  FailedScheduling       40m (x3 over 40m)  default-scheduler  0/1 nodes are available: 1 NodeNotReady.
  Normal   Scheduled              40m                default-scheduler  Successfully assigned kubernetes-bootcamp-5dbf48f7d4-67zmv to host01
  Normal   SuccessfulMountVolume  40m                kubelet, host01    MountVolume.SetUp succeeded for volume "default-token-spkm6"
  Normal   Pulled                 40m                kubelet, host01    Container image "gcr.io/google-samples/kubernetes-bootcamp:v1" already present on machine
  Normal   Created                40m                kubelet, host01    Created container
  Normal   Started                40m                kubelet, host01    Started container

可以看到Pod中已经打上了新的标签，可以通过新标签查询Pod

$ kubectl get pods -l app=v1
NAME                                   READY     STATUS    RESTARTS   AGE
kubernetes-bootcamp-5dbf48f7d4-67zmv   1/1       Running   0          42m

删除服务

使用delete service命令删除服务。也可以使用Label

$ kubectl delete service -l run=kubernetes-bootcamp
service "kubernetes-bootcamp" deleted

确认删除成功

$ kubectl delete service -l run=kubernetes-bootcamp
service "kubernetes-bootcamp" deleted

确认服务无法访问

$ curl $(minikube ip):$NODE_PORT
curl: (7) Failed to connect to 172.17.0.82 port 31753: Connection refused

这证明服务已经在外部不可达。但是该应用还是正常运行并且可以内部访问：

$ kubectl exec -ti $POD_NAME curl localhost:8080
Hello Kubernetes bootcamp! | Running on: kubernetes-bootcamp-5dbf48f7d4-8pbq5 | v=1