使用 SOCKS5 代理访问 Kubernetes API

此页面展示如何使用 SOCKS5 代理访问远程 Kubernetes 集群的 API。当您要访问的集群没有直接在公网上公开其 API 时，这很有用。

开始之前

您需要拥有一个 Kubernetes 集群，并且 kubectl 命令行工具必须配置为与您的集群通信。建议在至少有两个节点的集群上运行本教程，这些节点不充当控制平面主机。如果您还没有集群，您可以使用 minikube 创建一个集群，或者使用以下 Kubernetes 游乐场之一

• Killercoda
• 玩转 Kubernetes

您需要 SSH 客户端软件 (ssh 工具) 和在远程服务器上运行的 SSH 服务。您必须能够登录到远程服务器上的 SSH 服务。

任务上下文

图 1 表示您将在本任务中实现的目标。

• 您有一台客户端计算机，在后面的步骤中称为本地计算机，您将从这里创建请求与 Kubernetes API 通信。
• Kubernetes 服务器/API 托管在远程服务器上。
• 您将使用 SSH 客户端和服务器软件在本地和远程服务器之间创建安全的 SOCKS5 隧道。客户端和 Kubernetes API 之间的 HTTPS 流量将在 SOCKS5 隧道上流动，该隧道本身通过 SSH 隧道化。

使用 ssh 创建 SOCKS5 代理

以下命令在您的客户端机器和远程 SOCKS 服务器之间启动 SOCKS5 代理

# The SSH tunnel continues running in the foreground after you run this
ssh -D 1080 -q -N username@kubernetes-remote-server.example

SOCKS5 代理允许您根据以下配置连接到集群的 API 服务器

• -D 1080: 在本地端口 :1080 上打开 SOCKS 代理。
• -q: 静默模式。导致大多数警告和诊断消息被抑制。
• -N: 不执行远程命令。对于仅转发端口很有用。
• username@kubernetes-remote-server.example: 运行 Kubernetes 集群的远程 SSH 服务器（例如：堡垒主机）。

客户端配置

要通过代理访问 Kubernetes API 服务器，您必须指示 kubectl 通过我们之前创建的 SOCKS 代理发送查询。通过设置适当的环境变量或通过 kubeconfig 文件中的 proxy-url 属性来完成此操作。使用环境变量

export HTTPS_PROXY=socks5://localhost:1080

要始终在特定 kubectl 上下文中使用此设置，请在 ~/.kube/config 文件中相关 cluster 条目中指定 proxy-url 属性。例如

apiVersion: v1
clusters:
- cluster:
    certificate-authority-data: LRMEMMW2 # shortened for readability 
    server: https://<API_SERVER_IP_ADDRESS>:6443  # the "Kubernetes API" server, in other words the IP address of kubernetes-remote-server.example
    proxy-url: socks5://localhost:1080   # the "SSH SOCKS5 proxy" in the diagram above
  name: default
contexts:
- context:
    cluster: default
    user: default
  name: default
current-context: default
kind: Config
preferences: {}
users:
- name: default
  user:
    client-certificate-data: LS0tLS1CR== # shortened for readability
    client-key-data: LS0tLS1CRUdJT=      # shortened for readability

通过前面提到的 ssh 命令创建隧道并定义环境变量或 proxy-url 属性后，您可以通过该代理与集群进行交互。例如

kubectl get pods

NAMESPACE     NAME                                     READY   STATUS      RESTARTS   AGE
kube-system   coredns-85cb69466-klwq8                  1/1     Running     0          5m46s

清理

通过在运行它的终端上按 CTRL+C 停止 ssh 端口转发进程。

在终端中键入 unset https_proxy 以停止通过代理转发 http 流量。

进一步阅读

• OpenSSH 远程登录客户端