Kubernetes 证书管理器-Acme Http解算器返回404

使用带有nginx入口的kubernetes群集访问我正试图使用

certmanager

和ACME

clustersuiser

设置的https访问服务

我对cert manager遵循的步骤相当满意，但我目前正处于向http解算器提出质询的阶段，该http解算器是cert manager在集群中配置的，作为质询过程的一部分。当我描述服务生成的质询时，我看到它的状态是挂起的：

Reason:      Waiting for http-01 challenge propagation: failed to perform self check GET request 'http://www.example.com/.well-known/acme-challenge/nDWOHEMXgy70_wxi53ijEKjUHFlzg_UJJS-sv_ahGzg': Get "http://www.example.com/.well-known/acme-challenge/nDWOHEMXgy70_wxi53ijEKjUHFlzg_UJJS-sv_ahGzg": dial tcp xx.xx.xx.xxx:80: connect: connection timed out

当我从k8s主机服务器调用解算器的url时：

curl -H "Host: www.example.com" http://192.168.1.11:31344/.well-known/acme-challenge/nDWOHEMXgy70_wxi53ijEKjUHFlzg_UJJS-sv_ahGzg

我得到一张200元的好票

注意：地址192.168.1.11是运行http解算器pod的k8s节点的ip。端口31344是http解算器pod的nodeIp服务的内部端口

我试图弄明白为什么挑战本身超时了，却没有得到200分

---

我已经通过4g（而不是wifi）从我的手机测试了http解算器的url，这样我得到了200 OK，这告诉我http解算器可以从外部通过防火墙和nginx进入服务和pod，对吗？因此，如果是这种情况，那么还有什么其他原因导致Let's Encrypt无法从同一URL检索令牌

---当前配置---

群集颁发者：

apiVersion: cert-manager.io/v1alpha2
kind: ClusterIssuer
metadata:
 name: letsencrypt-staging
 namespace: cert-manager
spec:
 acme:
   # The ACME server URL
   server: https://acme-staging-v02.api.letsencrypt.org/directory
   # Email address used for ACME registration
   email: my.address@example.com
   # Name of a secret used to store the ACME account private key
   privateKeySecretRef:
     name: letsencrypt-staging
   # Enable the HTTP-01 challenge provider
   solvers:
   - selector: {}
     http01:
       ingress:
         class: nginx

入口：

apiVersion: networking.k8s.io/v1beta1
kind: Ingress
metadata:
  name: ing-myservice-web
  namespace: myservice
  annotations:
    kubernetes.io/ingress.class: "nginx"
    cert-manager.io/cluster-issuer: "letsencrypt-staging"
spec:
  tls:
  - hosts:
    - www.example.com
    secretName: secret-myservice-web-tls
  rules:
  - host: www.example.com
    http:
      paths:
      - backend:
          serviceName: svc-myservice-web
          servicePort: 8080
        path: /
  - host: www.example.co.uk
    http:
      paths:
        - backend:
            serviceName: svc-myservice-web
            servicePort: 8080
          path: /

---

在阅读了cert manager如何工作的各个不同方面后，在其他帖子上阅读了其他人的类似问题，并更好地了解了我的网络是如何建立的，以及外界是如何看待我的网络的，我在下面介绍了我对设置的了解，以及此后为了让

cert manager

在k8s群集中为我的域服务工作所做的工作

设置：

• kubernetes群集，后端服务由

  nginx

  ingress controller前置，带有

  NodePort

  服务，分别为http和https提供端口25080和25443
• kubernetes群集在ISP公共IP后面的专用网络中

解决方案：

• 配置了一个本地

  http代理

  ，运行在k8s群集外部的端口80上，该端口将请求转发到

  nginx控制器的
  节点端口
  IP和端口25080
  
  

• 在我的网络上配置了

  bind9

  ，将www指向运行本地

  http代理的主机
  
  

• 将k8s群集的

  CoreDNS

  配置为指向

  bind9

  主机（而不是8.8.4.4等）

• 将我的专用网络入口点路由器配置为将任何地址端口80发送到

  nginx控制器的
  NodePort
  IP和端口25080
  
  

• 将我的专用网络入口点路由器配置为将任何地址端口443发送到

  nginx控制器的
  NodePort
  IP和端口25443
  
  

此解决方案的主要原因是我的ISP不允许我的专用网络中的主机通过网络的公共IP地址呼出或返回网络。（我相信这对于ISP来说是很常见的，它被称为Harpining或NAT环回，一些路由器具有打开它的功能）

因此，为了使

cert管理器
的
http解算器
pod（在k8s集群中运行）能够为了能够完成挑战，它必须能够通过本地托管的
http代理
强制www的网络路由，而不是去万维网然后再回来（我的ISP不允许），从而到达
nginx控制器

有了此解决方案，
http解算器
pod能够完成挑战，此后
cert-manager
能够成功颁发证书

我确信（我希望）有更好更干净的解决方案来解决这种情况，但我自己还没有遇到过任何解决方案，所以这就是我目前的解决方案。
我已经通过运行curl命令来证明http解算器pod运行正确，如下所示：
curl-I-H“Host:www.place.com” http://192.168.1.11:30421/.well-已知/acme挑战/nDWOHEMXgy70_wxi53ijEKjUHFlzg_UJJS-sv_ahGzg
。此呼叫返回200 OK。关于404的质询状态，我认为这可能是因为无法从我自己的网络中调用外部ip地址（我的域指向该地址）？i、 e.从防火墙后面？我已经通过4g（而不是wifi）从我的手机测试了http解算器的url，因此这证明了http解算器可以通过防火墙和nginx进入服务和pod，这很好，但正如我最后的评论所述，我认为不可能从我自己的网络中调用http解算器的挑战url。那么如何解决这个问题呢？文本中的状态是Let's Encrypt，它试图从http解算器的url检索令牌，所以我的最后一条评论是无效的。但是，我可以通过4g（即外部）从我的手机中检索令牌，那么为什么我们不能加密呢？1。请用所有必要的信息编辑您的问题，而不是将其作为评论发布。尽量保持简短和清晰。2.提供重现问题的配置/YAML和步骤。根据你给我们的，我们帮不了多少忙。