#配置 GatewayAPI Gateway

#概述

在 Envoy Gateway operator 和 EnvoyGatewayCtl 准备就绪后，配置一个 Gateway。 Gateway 定义流量如何进入 gateway，而配套的 EnvoyProxy 则控制底层 Envoy data plane 的部署方式。

在推荐的工作流程中，请在 Envoy Gateway Operator 之后、配置 GatewayAPI Route 之前配置 Gateway。

#前提条件

请确保在继续之前已完成以下步骤：

1. 阅读 Envoy Gateway Operator，以了解基本概念和资源关系
2. 安装 Envoy Gateway operator 并创建一个 EnvoyGatewayCtl

#Gateway 基础

#什么是 Gateway

Gateway 是流量进入集群的入口点。它定义外部请求如何接收并路由到后端服务。Gateway 主要定义以下内容：

• 监听器：定义 gateway 监听的端口、协议和主机名
• GatewayClass：选择由哪个 gateway controller 管理该 Gateway
• 基础设施引用：引用一个 EnvoyProxy，用于控制底层 Envoy data plane 的部署方式

#Gateway 暴露方式 (Service Type)

Service Type 用于配置 gateway 如何通过底层 Envoy Service 暴露。共有三种模式： LoadBalancer、NodePort 和 ClusterIP。

在 YAML 中，此设置配置在配套的 EnvoyProxy 资源中，位置为 .spec.provider.kubernetes.envoyService.type。

#LoadBalancer (推荐)

其优点是易用，并具备高可用的负载均衡能力。 要使用 LoadBalancer，集群必须支持 LoadBalancer，可通过 MetalLB 启用。

使用 MetalLB 时，你可以通过 service 注解指定静态 VIP。在 Web Console 中，请使用 Service Annotation 字段：

metallb.universe.tf/address-pool: ADDRESS_POOL_NAME
# Or specify a specific IP directly
metallb.universe.tf/loadBalancerIPs: VIP_IP

更多详情请参见 如何在使用 MetalLB 时指定 VIP。

#NodePort

其优点是不需要任何外部依赖。

不过，使用 NodePort 有以下缺点：

• 使用 NodePort 时，Kubernetes 分配的 NodePort 端口号与 service 自身端口不同。访问时必须使用 NodePort 端口号，而不是 service 端口。
• 该 service 可通过集群中任意节点 IP 地址访问，可能带来潜在的安全风险。

#使用 NodePort 时如何获取正确端口

在 Gateway 详情页中，当 Service Type 为 NodePort 时，监听器列表会显示 NodePort 列，展示分配的端口号。你也可以使用以下命令：

kubectl get svc -n ${ENVOYGATEWAYCTL_NS} -l gateway.envoyproxy.io/owning-gateway-name=${GATEWAY_NAME} -o=jsonpath="{.items[0].spec.ports[?(@.port==${PORT})].nodePort}"

输出结果即为 NodePort。

#ClusterIP

如果你不需要对外暴露，这种方式非常方便。

#监听器配置

监听器定义 gateway 监听的端口和协议。在 HTTP 或 HTTPS 协议中，不同的主机名可以视为不同的监听器。

你不能创建端口、协议或主机名冲突的监听器。

你必须在 Gateway 中至少创建一个监听器。

#端口和协议

每个监听器都通过端口号和协议进行配置。支持的协议包括：HTTP、HTTPS、TCP、UDP、TLS。

#AllowRouteNS

默认情况下，Route 只能附加到 Same 命名空间中的 Gateway。若要允许跨命名空间路由，请使用 Allowed Routes Namespace 字段：

• Same：允许同一命名空间中的 Route 附加到此监听器。
• All：允许任意命名空间中的 Route 附加到此监听器。
• Selector：允许与选择器匹配的命名空间中的 Route 附加到此监听器。

在 ACP 中，一个项目通过命名空间上的标签来标识，例如 cpaas.io/project: <project-name>。如果你希望某个监听器仅供特定项目的 Route 使用，请使用 Selector 并匹配目标命名空间上的项目标签。

监听器的 Allowed Routes Namespace 设置与其协议共同决定了当你将 route 发布到监听器时，Route Web Console 中哪些监听器可用。

更多信息请参见 attach to gateway created in other ns。

#TLS 配置

对于 HTTPS 和 TLS 协议，你需要配置 TLS 设置。

TLS 模式：

证书要求：

• 默认情况下，你只能使用在同一命名空间中创建的 secret
• secret 必须是 kubernetes.io/tls 类型，并包含 tls.crt 和 tls.key 键
• 关于跨命名空间 secret，请参见 use secret created in other ns

#EnvoyProxy (部署配置)

Envoy Gateway 使用 EnvoyProxy 资源来控制 gateway 的部署配置。我们建议为每个 Gateway 创建一个专用的 EnvoyProxy 资源，并通过 Gateway 的 .spec.infrastructure.parametersRef 字段进行引用。

当你在 Web Console 中使用由 EnvoyGatewayCtl 创建的 GatewayClass 创建 Gateway 时，控制台会自动创建一个与其同名、同命名空间的配套 EnvoyProxy 资源。

当你通过应用 YAML 创建 Gateway 时，你需要自行保证 Gateway 的 .spec.infrastructure.parametersRef 与所引用的 EnvoyProxy 资源保持一致。

这种一对一映射方式可以提供更好的隔离性，并对以下部署配置提供更细粒度的控制：

• 从节点数
• 资源限制和请求
• 节点选择器
• service 类型和注解
• 镜像仓库

#推荐的资源规格

对于典型的 HTTP 和 HTTPS 南北向流量，可将以下值作为单个 envoy-proxy Pod 的起始参考值。这些建议适用于 .spec.provider.kubernetes.envoyDeployment.container.resources。

#镜像仓库

镜像仓库已根据你集群的默认值预先配置。除非必要，请不要修改它。

有关其他部署配置方式，请参见 deployment-mode。

#创建 Gateway

#通过 Web Console

1. 导航到 Alauda Container Platform -> Networking -> Gateway -> Gateways
2. 点击 Create Gateway 按钮
3. 在 Create Gateway 页面中，选择由你的 EnvoyGatewayCtl 创建的 GatewayClass。在 Envoy Gateway Operator 推荐的默认示例中，该值为 envoy-gateway-operator-cpaas-default。

该页面显示以下配置项：

#监听器配置

在创建或编辑监听器时，你可以配置以下内容：

#HTTPS 协议配置

当选择 HTTPS 作为协议时：

#TLS 协议配置

当选择 TLS 作为协议时：

配置字段

有关 TLS 模式的详细信息，请参见 TLS 配置。

#通过 YAML

如果你没有使用推荐的默认示例，请将 envoy-gateway-operator-cpaas-default 替换为你自己的 EnvoyGatewayCtl 创建的 GatewayClass。

下面这个最小示例创建了一个 HTTP Gateway 和一个专用 EnvoyProxy。

apiVersion: gateway.networking.k8s.io/v1
kind: Gateway
metadata:
  name: demo
  namespace: demo
spec:
  infrastructure:
    parametersRef:
      group: gateway.envoyproxy.io
      kind: EnvoyProxy
      name: demo
  gatewayClassName: envoy-gateway-operator-cpaas-default
  listeners:
    - name: http
      port: 80
      protocol: HTTP
      allowedRoutes:
        namespaces:
          from: Same
---
apiVersion: gateway.envoyproxy.io/v1alpha1
kind: EnvoyProxy
metadata:
  name: demo
  namespace: demo
spec:
  provider:
    kubernetes:
      envoyService:
        type: ClusterIP
      envoyDeployment:
        replicas: 1
        container:
          imageRepository: registry.alauda.cn:60080/acp/envoyproxy/envoy
          resources:
            limits:
              cpu: '1'
              memory: 1Gi
            requests:
              cpu: '1'
              memory: 1Gi
    type: Kubernetes

#包含多种监听器类型的完整示例

如果你需要更多监听器类型，请使用以下完整示例：

apiVersion: gateway.networking.k8s.io/v1
kind: Gateway
metadata:
  name: demo
  namespace: demo
spec:
  infrastructure:
    parametersRef:
      group: gateway.envoyproxy.io
      kind: EnvoyProxy
      name: demo
  gatewayClassName: envoy-gateway-operator-cpaas-default
  listeners:
    - name: http
      port: 80
      hostname: a.com
      protocol: HTTP
      allowedRoutes:
        namespaces:
          from: Same
    - name: https
      port: 443
      hostname: a.com
      protocol: HTTPS
      allowedRoutes:
        namespaces:
          from: Same
      tls:
        mode: Terminate
        certificateRefs:
          - name: demo-tls
    - name: tls-passthrough
      port: 8443
      hostname: tls.example.com
      protocol: TLS
      allowedRoutes:
        namespaces:
          from: Same
      tls:
        mode: Passthrough
    - name: tls-terminate
      port: 9443
      hostname: secure.example.com
      protocol: TLS
      allowedRoutes:
        namespaces:
          from: Same
      tls:
        mode: Terminate
        certificateRefs:
          - name: demo-tls
    - name: tcp
      port: 8080
      protocol: TCP
      allowedRoutes:
        namespaces:
          from: Same
    - name: udp
      port: 8081
      protocol: UDP
      allowedRoutes:
        namespaces:
          from: Same
---
apiVersion: gateway.envoyproxy.io/v1alpha1
kind: EnvoyProxy
metadata:
  name: demo
  namespace: demo
spec:
  provider:
    kubernetes:
      envoyService:
        type: ClusterIP
      envoyDeployment:
        replicas: 1
        container:
          imageRepository: registry.alauda.cn:60080/acp/envoyproxy/envoy
          resources:
            limits:
              cpu: '1'
              memory: 1Gi
            requests:
              cpu: '1'
              memory: 1Gi
    type: Kubernetes

#查看 Gateway 详情

在 Gateway 详情页中，监听器列表会显示以下信息：

#监听器与 Route 参考

将 Route 资源附加到 Gateway 时，请使用以下规则。

#主机名

监听器中的主机名是相同协议下监听器的唯一标识符。你不能在 gateway 中添加或更新冲突的监听器。

#主机名交集规则

请求到达时，会将其与监听器的主机名和 Route 的主机名做交集匹配。只有交集中的主机名才会用于流量路由。

#支持的 Route 类型

每个监听器会根据其协议支持不同的 Route 类型：

在配置 route 时，请确保它们与所附加监听器的协议相匹配。例如，你不能将 HTTPRoute 附加到 TCP 监听器。

#下一步

在 Gateway 准备就绪后，请继续阅读 配置 GatewayAPI Route。如果在 route 附加后你还需要高级流量控制，请继续阅读 配置 GatewayAPI Policy。