Amazon web services Kubernetes-入口路由问题-跨名称空间的路由

我在AWS上有一个主节点和两个工作节点kubernetes集群。集群中有两个环境（qc和prod），我创建了两个名称空间。 我在

qc

和

prod

命名空间上运行相同的服务

apiVersion: extensions/v1beta1
kind: Ingress
metadata:
  name: my-ingress
  namespace: prod
spec:
  rules:
  - host: "*.qc-k8s.example.com"
    http:
      paths:
      - path: /app
        backend:
          serviceName: client-svc
          servicePort: 80
---
apiVersion: extensions/v1beta1
kind: Ingress
metadata:
  name: my-ingress
  namespace: qc
spec:
  rules:
  - host: "*.qc-k8s.example.com"
    http:
      paths:
      - path: /app-qc
        backend:
          serviceName: client-svc
          servicePort: 80

我已经为这两个名称空间创建了入口

apiVersion: extensions/v1beta1
kind: Ingress
metadata:
  name: my-ingress
  namespace: prod
spec:
  rules:
  - host: "*.qc-k8s.example.com"
    http:
      paths:
      - path: /app
        backend:
          serviceName: client-svc
          servicePort: 80
---
apiVersion: extensions/v1beta1
kind: Ingress
metadata:
  name: my-ingress
  namespace: qc
spec:
  rules:
  - host: "*.qc-k8s.example.com"
    http:
      paths:
      - path: /app-qc
        backend:
          serviceName: client-svc
          servicePort: 80

我在

qc

和

prod

命名空间中都有

client svc

，并打开节点端口80。 然后我创建了

ELB

服务和

守护程序集，如下所示

kind: Service
apiVersion: v1
metadata:
  name: ingress-svc
  namespace: deafult
  annotations:
    service.beta.kubernetes.io/aws-load-balancer-ssl-cert: arn:aws:acm:ca-central-1:492276880714:certificate/xxxxxxxxxxxxxx
    service.beta.kubernetes.io/aws-load-balancer-ssl-ports: "443"
    service.beta.kubernetes.io/aws-load-balancer-backend-protocol: http
spec:
  type: LoadBalancer
  selector:
    app: my-app
  ports:
  - name: http
    port: 80
    targetPort: http
  - name: https
    port: 443
    targetPort: http
---
apiVersion: extensions/v1beta1
kind: DaemonSet
metadata:
  name: ingress-nginx
  namespace: deafult
spec:
  template:
    metadata:
      labels:
        app: my-app
    spec:
      terminationGracePeriodSeconds: 60
      containers:
      - image: gcr.io/google_containers/nginx-ingress-controller:0.9.0-beta.6
        name: ingress-nginx
        imagePullPolicy: Always
        ports:
          - name: http
            containerPort: 80
            hostPort: 80
        livenessProbe:
          httpGet:
            path: /healthz
            port: 10254
            scheme: HTTP
          initialDelaySeconds: 30
          timeoutSeconds: 5
        readinessProbe:
          httpGet:
            path: /healthz
            port: 10254
            scheme: HTTP
        env:
          - name: POD_NAME
            valueFrom:
              fieldRef:
                fieldPath: metadata.name
          - name: POD_NAMESPACE
            valueFrom:
              fieldRef:
                fieldPath: metadata.namespace
        resources:
          limits:
            cpu: 100m
            memory: 100Mi
          requests:
            cpu: 100m
            memory: 100Mi
        args:
        - /nginx-ingress-controller
        - --default-backend-service=$(POD_NAMESPACE)/nginx-default-backend

当我试图卷曲
curl-iv时https://gayan.qc-k8s.example.com/app/
。然后我得到一个错误

2017/06/27 15:43:31[错误]158#158:*981 connect（）在连接到上游时失败（111：连接被拒绝），客户端：209.128.50.138，服务器：gayan.qc-k8s.example.com，请求：“GET/app/HTTP/1.1”，上游：，主机：“gayan.qc-k8s.example.com”
209.128.50.138-[209.128.50.138，209.128.50.138]-[27/Jun/2017:15:43:31+0000]“GET/app/HTTP/1.1”500 193-“curl/7.51.0”198 0.014 100.82.2.47:80100.96.2.48:80，193 0.001，0.013 502500

如果我curl
curl-ivhttps://gayan.qc-k8s.example.com/app-qc
，我也遇到了同样的问题。
以前有人经历过这个错误吗？有解决这个问题的线索吗

谢谢
我通过

例如，我们使用的真实文档：

  apiVersion: extensions/v1beta1
  kind: Ingress
  metadata:
    name: ingress
    namespace: dev-1
  spec:
    rules:
    - host: api-gateway-dev-1.faceit.com
      http:
        paths:
        - backend:
            serviceName: api-gateway
            servicePort: 80
          path: /
    - host: api-shop-dev-1.faceit.com
      http:
        paths:
        - backend:
            serviceName: api-shop
            servicePort: 80
          path: /
    - host: api-search-dev-1.faceit.com
      http:
        paths:
        - backend:
            serviceName: api-search
            servicePort: 8080
          path: /
    tls:
    - hosts:
      - api-gateway-dev-1.faceit.com
      - api-search-dev-1.faceit.com
      - api-shop-dev-1.faceit.com
      secretName: faceitssl

我们为每个音轨的每个名称空间制作其中一个

然后，我们有一个带有入口控制器的单一名称空间，该入口控制器运行自动配置的NGINX pods。另一个AWS负载平衡器指向这些POD，它们在节点端口上运行，使用守护程序集最多运行一个，在集群中的每个节点上至少运行一个

因此，流量随后被路由到：

互联网->AWS ELB->NGINX（节点上）->Pod

我们在使用入口的同时保持名称空间之间的隔离。使用一个入口访问多个名称空间是不正确的，甚至是不明智的。考虑到它们是如何设计的，这根本没有意义。解决方案是为每个命名空间使用一个入口和一个集群范围入口控制器，该控制器实际执行路由