Kubernetes Gateway API-3-TLS配置

1 简介

Gateway API 允许使用多种方式配置 TLS。本文档列出了各种TLS设置，并给出了如何有效使用它们的一般指南。

尽管本文档涵盖了 Gateway API 最常见的TLS配置形式，但某些实现也可能提供特定于实现的扩展，允许不同或更高级形式的TLS配置。除此文档外，值得阅读你所使用 Gateway API 的任何实现的TLS文档。

下面描述的 TLSRoute 和 BackendTLSPolicy 资源目前仅包含在网关API的“测试”通道中。有关发布渠道的更多信息，请参阅版本指南。

2 客户端/服务器和TLS

对于网关，涉及两个连接：

• 下游(downstream)：这是 Client 和 Gateway 之间的连接。

• 上游(upstream)：这是 Gateway 和 路由指定的后端资源之间的连接。这些后端资源通常是服务。

通过 Gateway API，对下游和上游连接的TLS配置进行独立管理。

对于下游连接，根据侦听器协议，支持不同的TLS模式和路由类型。

请注意，在 Passthrough TLS模式下，TLS设置没有作用，因为来自 Client 的TLS会话不会在 Gateway 终止，而是通过 Gateway 加密。

对于上游连接，使用 BackendTLSPolicy，侦听器协议和TLS模式都不适用于上游TLS配置。对于 HTTPRoute，支持同时使用 Terminate TLS模式和 BackendTLSPolicy。将这些结合使用可以提供通常所说的连接，该连接在网关处终止并重新加密。

3 下游 TLS

下游TLS设置是使用 Gateway 级别的 listeners(侦听器)配置的。

3.1 Listeners 和 TLS

侦听器在每个域或子域的基础上公开TLS设置。侦听器的TLS设置应用于满足 hostname 条件的所有域。

在以下示例中，网关为所有请求提供 default-cert Secret资源中定义的TLS证书。虽然该示例涉及HTTPS协议，但也可以将相同的功能与TLSRoute一起用于 TLS-only 协议。

listeners:
- protocol: HTTPS # 其他可能的值是`TLS`
  port: 443
  tls:
    mode: Terminate # 如果 protocol 是“TLS”，则“Passthrough”是一种可能的模式
    certificateRefs:
    - kind: Secret
      group: ""
      name: default-cert

3.2 示例

3.2.1 持有多个不同证书的监听器

在此示例中，Gateway 被配置为服务 foo.example.com 和 bar.example.com 域。这些域的证书在 Gateway 中指定。

apiVersion: gateway.networking.k8s.io/v1
kind: Gateway
metadata