[发明专利]一种基于传输层路由访问k8s容器环境的方法及装置

说明书

本发明公开了一种基于传输层路由访问k8s容器环境的方法及装置，应用于容器云平台，获取客户端的基于域名和固定端口的连接请求；通过域名解析服务器，将连接请求解析并根据固定端口，转发到相应的代理服务器上；代理服务器根据预设的域名和容器集群目标节点的映射关系，将连接请求转发到目标节点；根据预设的认证方式，建立网络连接。本发明实现多租户的传输层路由，为开发人员提供基于安全外壳协议的容器环境访问方式，本发明只对外暴露预先设定的代理服务器的固定端口，避免了kubernetes集群中容器组IP或Service端口的外泄，有效提升了容器云平台的安全性。

技术领域

本发明涉及计算机技术领域，尤其是涉及一种基于传输层路由访问k8s容器环境的方法及装置。

背景技术

Kubernetes简称k8s，是一个开源的，用于管理云平台中多个主机上的容器化的应用。Kubernetes集群中的容器环境访问一般基于Ingress和Service组件实现。Service为一组具有相同功能的容器应用提供一个统一的入口地址，并且将请求负载分发到后端的各个容器应用上。但直接提供Service IP是一种不安全的方式，且每个容器组的端口不同，暴露kubernetes集群节点的一组端口号也是有安全隐患的访问方式。Ingress虽然有路由转发的功能，但它实现的是HTTP层的业务路由机制，而基于ssh访问kubernetes容器环境是开发人员频繁存在的需求，该场景下Ingress的功能也无法适用。

发明内容

为解决现有技术的不足，实现kubernetes容器环境安全访问的目的，本发明采用如下的技术方案：

一种基于传输层路由访问k8s容器环境的方法，应用于容器云平台，包括如下步骤：

步骤S1：获取客户端的基于域名和固定端口的连接请求；

步骤S2：通过域名解析服务器，将连接请求解析并根据固定端口，转发到相应的代理服务器上；

步骤S3：代理服务器根据预设的域名和容器集群目标节点的映射关系，将连接请求转发到目标节点；

步骤S4：根据预设的认证方式，建立网络连接。建立ssh连接的认证方式包括密码认证和密钥认证两种通用方式。

进一步地，所述步骤S1中，获取客户端发起的基于安全外壳协议ssh的连接请求，使用的域名后缀及端口号是固定的，域名前缀在容器组创建时由容器云平台动态分配。

进一步地，所述步骤S2中，域名解析服务器解析结果是一组作用相同的代理服务器列表时，根据预设的负载均衡策略分配到相应的代理服务器上。端口号是代理服务器上暴露的固定端口号。

进一步地，所述步骤S3中，映射关系是通过预设地址映射表，构建域名和目标节点NodePort类型的Service对象的映射关系，Service对象对应目标节点IP和端口。

进一步地，一组代理服务器查询的地址映射表数据是相同的，地址映射表数据是键值对的形式，查询的索引是步骤S1中所述的域名，查询得到的值是k8s容器集群目标节点中创建的NodePort类型的Service对象，数据形式为IP:Port。

进一步地，地址映射表数据在目标节点创建容器环境时上报，具体地包括：

步骤S3.1：前端或者API发起创建容器环境的请求，应用层模块接收创建请求，解析成k8s API能够理解的参数并下发到k8s容器集群，在目标节点上创建容器组，同时创建NodePort类型的Service对象用于访问，并为Service对象打上容器组资源名称的标签便于查询；

步骤S3.2：应用层模块基于域名后缀为当前容器组创建一个全局唯一的子域名，与容器组名称相关联并持久化存储；