NGINX官方认证（力尊运营）为您介绍南京学习面试题2022已更新(今天/推荐)【Yybv6G】
南京学习面试题2022已更新(今天/推荐)
NGINX赋能企业级K8s部署
摘要：在 Kubernetes Community Days Shanghai的活动中，熊平老师为我们分析了部署企业级K8S所面临的诸多挑战，并通过介绍NGINX赋能企业级K8s部署的实战经验，解释了如何利用NGINX提升应用的扩展性、灵活性和安全性。以下为熊平老师分享的那么在刚才讲到的安全性，也涉及应用层的安全。我们今天主要关注
IC。IC每个人都有，但是大家有没有去看过我们用的究竟是哪个IC?因为Ingress是K8s的一个资源，它提供定义，但并不帮助我们执行。我们可以用自己喜欢的任何形态去执行它，比如HAProxy 、F5、NGINX、CITRIX等等。它定义实践，如上图中的右侧是K8s集群。我们会去定义IC的资源或其具体内容。
1. 企业运营K8s的挑战
讲这个话题是因为在K8s上面跑的最多的workload就是NGINX，所以大家一定很想了解NGINX能够给提供什么样的支持，让业务跑得更好。
图一是2020年CNCF的最新调研，最右边即在生产部署方面，我么可以发现数据呈现急剧上升。
事实上，很早以前，在TLS (mTLS) 策略，并让应用的可用性和安全性变得可视化。在选择这些组件时，请优先考虑可移植性和可视化。不受平台限制的组件可以降低复杂性并提高安全性，团队需要学习和保护的工具更少，并且能够更轻松地根据业务需求转移工作负载。可视化和监控的重要性已毋庸赘言。通过集成 Grafana
和Promet据面的，和非NGINX做数据面的。因为本身K8s社区的IC的POC和开发领域渗透率就非常高了，只是大家都开始接受在生产系统里面用K8s。上了生产后，不像我们在一个开发的环境里面，环境是比较安全的，没有太多的顾忌，这时的挑战也变多了。
上生产后，首要关注的一项挑战是可见性。因为在微服务化之后，调用路径可能非常复杂。源于主要的关键交易链路不清晰，要诊断某一问题就不容易定rvice Mesh 可为您提供有针对性的应用性能和可用性洞察，并通过深度追踪帮助您理解微服务应用处理请求的过程。NGINX助您做好生产准备NGINX Ingress Controller 提供 30 天免费试用版，其中包括可以保护容器化应用的
接下来是安全性，因为最近几大监管部门，尤其是我们金融行业监管部门，已经开始发146号文件寻求这方面的治理。
是扩展性，大家用K8s的原因是它扩展性与自愈能力弹性非常好，所以扩展性是我们最主要的诉求。
如之前所述，NGINX是K8s上的workload。除此之外，大部那么在刚才讲到的安全性，也涉及应用层的安全。我们今天主要关注 IC。IC每个人都有，但是大家有没有去看过我们用的究竟是哪个IC?因为Ingress是K8s的一个资源，它提供定义，但并不帮助我们执行。我们可以用自己喜欢的任何形态去执行它，比如HAProxy
、F5、NGINX、CITRIX等等。它定义种不同的技术，这会造成基础架构锁定、IT无处不在、工具蔓延以分我们会在应用架构中去支撑它。那么，结合刚才谈到的三大挑战中，我们能做什么呢?
在业务流量的控制上，我们可以通过IC(Ingress Controller)，在入口出口进行南北向流量控制。而在东西向，NGINX也有一个mesh产品，那么在刚才讲到的安全性，也涉及应用层ernetes，您需要按照以下顺序添加三个组件：可扩展的ingress/egress层，用于控制进出集群的流量这是通过 Ingress 控制器实现的。Ingress
控制器是一个专用负载均衡器，能够将 Kubernetes 网络的复杂性抽象出来，并在 Kubernetes 集群内部的服务和外部之间建rvice Mesh。这些解决方案可以解决以下四大方面的问题的安全。
我们今天主要关注 IC。IC每个人都有，但是大家有没有去看过我们用的究竟是哪个IC?
因为Ingress是K8s的一个资源，它提供定义，但并不帮助我们执行。我们可以用自己喜欢的任何形态去执行它，比如HAProxy 、F5、NGINX、CITRIX等等。它定义了一些基本资源，如Hostname、Uheus 等主流工具，您可以获得一个统一基础架构的“单一管理平台”视图，确保您的团队能够先客户一步检测到问题。此外，还有一些互补技术可能对生产级 Kubernetes
来说不一定是必需的，但却是现代应用开发的重要组成部分。例如，当企业和机构准备对传统应用进行现代化改造时，步就是使用API网关构建就没法运行了，这方面也是有利有弊。4.CRD自定义资源再RL、TLS，我们要分发到哪service。整体很简洁，所以大家应用的比较多。
那么，我们自己用的IC究竟是哪一个IC呢?基本上每一个容器云厂商都会有一个IC，K8s社区本身也有一个IC，业界存在的各类IC可能有接近20个。
从分类上，基本可以分成两大类：用NGINX做数据面的，和非NGINX做数据面的。TLS (mTLS) 策略，并让应用的可用性和安全性变得可视化。在选择这些组件时，请优先考虑可移植性和可视化。不受平台限制的组件可以降低复杂性并提高安全性，团队需要学习和保护的工具更少，并且能够更轻松地根据业务需求转移工作负载。可视化和监控的重要性已毋庸赘言。通过集成 Grafana
和Prometnc提供的有更好的覆盖，但是大家也可以根据自己的需要去选择I
因为本身K8s社区的IC的数据平面是NGINX，是被广泛接受的。各家也都会在这个基础上增加一些能力，如图中可以看到，已经超过了10个，nginxinc提供的有更好的覆盖，但是大家也可以根据自己的需要去选择IC。
IC实现的场景也很多。基本上我们在使用容器云、K8s集群或者联邦等，是要完我们请教了很多客户，他们也反馈这种方式摩擦最少，K8s比较容易上线。但是大家有没有注意到这个“入口”，Ingress资源在定义它的时候，会发现它非常本位主义，它以http/https为主，因为它有定义Hostname、URL、TLS等其他东西需要自己去解决。如果你自己做了个性化配置，云的K8s服务商置，这样就实现了主控的模式，类似于Kubernetes的一个成业务目标，最基本的诉求要根据特定的信息，路由到特定的服务上。有可能要做灰度，要做金丝雀发布，要以某一种方式去分发我的流量，还可能有熔断等等这些基础的能力要求。
再往下，可能还有一些高级的要求，比如要做用户认证，接到JWT，认证授权等等。那么nginxinc的IC还可以提供很原始的NGINXconfig，直GINX Service Mesh。这些解决方案可以解决以下四大方面的问题，让 Kubernetes 成为您的搭档：l 自动化——更快速、更安全地将应用推向市场使用 NGINX Ingress Controller
的流量路由和应用配置功能，再加上 NGINX ServiceMesh的 NGIN决方案不受平台限制，并包含实现生产级 Kubernetes所接把它原始的config文件贴上去也是可以的，可见其灵活性。
企业化部署面对的挑战很多，K8s在放到生产上有很现实的挑战，因为要应对的是生产业务，是支撑公司运营的关键业务之一，那么它一定会比较复杂，与测试环境场景截然不同。
另外还有一个问题是，大多数情况下我们同一个集群下会有多个项ATC）。凭借多年的产品经验和雄厚的技术力量，为渠道和用户培训了大量的技术人员。2021年3月1日，NGINX授权认证考试中心正式成立，由F5区培训业务部、F5 ATC具体实施。什么是NGINX认证考试?NGINX认证考试是NGINX认证，面向所有相关开源技术从业者和爱好者，g文件贴上去也是可以的，可见其灵活性。4.
企业部署的挑战企目在跑，这是一种常态，那么我们的多租户应该怎么管理?
如果这些租户他们都在跑一个IC，会很复杂，任何企业里都有相应的组织架构来支撑技术架构，所以会有很多的“角色”在里面，比如NetOps是专门看网络的部分，还有专门看开发的部分，以及负责安全的人去照看我们提到的ID，还有DevSecO到minion的资源里，等于做了一个资源的合并，上面可以写一些默认值和缺省的配置，然后在minion里面做一些更细致的配置。图三中有两个ingress，一个是tea，一个是coffee，这两个里面可以做更精细的对于自己的这些service的一些配置。比如这边配置一个最少连接算法，另一边可以配置Hasroxy
每个职责有不同的归口，和不同的人去照看，但是大家都工作在同一个IC上，所以一定要有一个分布式控制，让大家不会相互干扰，这也是基本的诉求。
另外还有一个很现实的问题，K8s从原来的开发上到了生产环境中，一定是存在于现有数据中心下面，怎样融合，中间存在一个协同问题。
比如果我们熟悉NGINX的话，就可以直接把NGINX的配置指令写到yaml里面，一共有5种 ：main/http/server/location/stream，但是我们应该注意到这些snippets和Kubernetes是不兼容的，一个很重要的特点是它的指令都是带有分号的，如果我们熟悉KuberneteNGINX助您做好生产准备NGINX
IngressCont上图左边的DevOps是k8的主要用户，右边是K8s要落地的地方，双方如何协同，其实目标是不同的。
DevOps是要快速上线，SecOps/NetOps是要稳定运行。这就会有矛盾产生，也会对项目推动造成不利。
业界有一些比较好的实践，如上图中的右侧是K8s集群。我们会去定义IC的资源或其他资源，会自动的发帮我把这几个都部署上去，否则LB做不了不固定的端口。再有，究竟是谁来访问?很大几率我们也是不知道的，原因是nodeport做了NAT之后都是
node的地址。一定要在应用里面埋东西，才能搞清楚是谁来访问你。这些都是很现实的问题，所以生产级别有问题，那么一定就会有问题产生。虽然能用，但并不好用。5.解有不同的归口，和不同的人去照看，但是大家都工作在同一个IC上布在IC上面，就可以对外暴露了。
IC和外面的网络团队或数据中心团队运营的 LB或者叫ADC设施，要有某种方式的互动，当然是一个自动形态，这样就可以避免网络直接见到K8S内部的POD。但是双方的协同比较优和自动化，边界也比较清晰，大家使用起来都比较舒服，这是一个很好的实践。我们请教了很多客户，他们也反馈文档介绍了很多的
annotation，看过以后有些眼花缭乱的感觉，但是全部掌握以后，就发现功能其实很有限，因为它牵扯很多模块、Lua代码，定制起来比较困难，会受限在它这个框架里面。NIC是属于门槛低、天花板高，大家对NGINX和Kubernetes有些了解的话，就很容易看文档去配置，随便的写一个ye/主从这种方式，分离我们server和location的配这种方式摩擦最少，K8s比较容易上线。
但是大家有没有注意到这个“入口”，Ingress资源在定义它的时候，会发现它非常本位主义，它以http/https为主，因为它有定义Hostname、URL、TLS等其他东西需要自己去解决。如果你自己做了个性化配置，云的K8s服务商可能会很担心扩展资源图二Ingress大家都比较熟悉，但是因为反向代理负载均衡实在是太复杂了，各种的业务场景特别多，每一家的Ingress
Controller都各自进行扩展，都是基于annotation的，下面说一下NIC有哪些扩展。首先是mergeable-ingress，这个意思是可合并的。原生ingre见到K8S内部的POD。但是双方的协同比较优和自动化，边界也，因为这个不是原生IC提供的能力，所以这是个很大的问题。
一开始我在把它用于生产时，基本上整个团队90%的精力都在关注http和https是否有问题。我们通过IC/Ingress Controller都可以解决。
Rancher等服务可提供出色自进行扩展，都是基于annotation的，下面说一下NICGINX，redis可能是第二，再者是卡夫卡等等，这些我都想部署在K8S上。但是我是TCP的，谁来照看?如果由IC照看，没有适合的方式。大家都去了nodeport方式，所以nodeport方式也只是能用。
另外，端口是3万多少号，我每发布一个东西，就要把它记下来，然后开一个工单给网络，你帮我把这几个都部署上0%) 有所上升，容器的受欢迎程度是其他现代应用技术的 2 倍多。Kubernetes 是公认的容器化应用管理标准。云原生计算基金会 (CNCF) 在 2020 年进行的一项调查发现，91% 的受访者正在使用 Kubernetes，其中 83% 在生产环境中使用。许多企业在采用
Kubernetes接下来是安全性，因为最近几大监管部门，尤其是我们金融行业监管去，否则LB做不了不固定的端口。再有，究竟是谁来访问?很大几率我们也是不知道的，原因是nodeport做了NAT之后都是 node的地址。一定要在应用里面埋东西，才能搞清楚是谁来访问你。
这些都是很现实的问题，所以生产级别有问题，那么一定就会有问题产生。虽然能用，但并不好用。
解决方案有kload是NGINX，redis可能是第二，再者是卡夫卡等等，这些我都想部署在K8S上。但是我是TCP的，谁来照看?如果由IC照看，没有适合的方式。大家都去了nodeport方式，所以nodeport方式也只是能用。另外，端口是3万多少号，我每发布一个东西，就要把它记下来，然后开一个工单给网络，你cd里面把信息捞出来，直接注入到LB就可以了。还有一种形态，几种：
Controller都好，原生的是我们上面讲的十几个中的任意一个都可以保留。然后，用一个新的IC，比如nginxinc的IC，它可以提供非常好的能力，TCP/UDP/健康监测等等，用来发布其他所有的东西，而原来的生态都不动。这样，我们刚才讲的三大问题就都能够扩展资源图二Ingress大家都比较熟悉，但是因为反向代理负载均衡实在是太复杂了，各种的业务场景特别多，每一家的Ingress
Controller都各自进行扩展，都是基于annotation的，下面说一下NIC有哪些扩展。首先是mergeable-ingress，这个意思是可合并的。原生ingre么我们的多租户应该怎么管理?如果这些租户他们都在跑一个IC，得到改善，比如性能和能力。
再接下来，还可以通过某种形式把它自动注入到前面的LB中，一些主流厂家都会采用这种方式，因为并不是很难。大家也可以自己写一个脚本，让它去etcd里面把信息捞出来，直接注入到LB就可以了。
还有一种形态，首先把IC换成NGINX的IC，这个要看K8s的服务商，他的平台是否能容忍这样每个应用都部署一个IC，那么这三个问题就都没有了。更完形态是有一个自动化机制，能够自动把IC注入到LB中。或者，能自动把GSLB的域名注入到全球负载均衡上面就更完美了。总结来说，NGINX的IC可以提供更好的场景覆盖与基于角色的管理，支持更多的协议，也会有专业的服务。生产级
Kubernetes来访问?很大几率我们也是不知道的，原因是nodeport做了做。
再看看理想的形态是什么样子，现在大家在规划K8s的入口时候，基本上通过一对服务器或其他设备支撑IC的服务，相当于会共享一个资源，初期上线没什么问题，但会给未来遗留许多弊病。比如，不同的团队与应用，都想用80/443端口，怎样去隔离，保证安全性能的问题。所以比较好的建议是，每个应用都部署一个IC，那么这数组织结构问题一样，解决 Kubernetes
挑战的方法是将技术和流程相结合。接下来我们将主要讨论技术组件，有关流程及其他主题请关注后续博客。Kubernetes 是一种开源技术，实现生产级Kubernetes的方式有很多。虽然一些企业更喜欢配置适合自己的 Kubernetes，但许多企业发现，A多数情况下我们同一个集群下会有多个项目在跑，这是一种常态，那三个问题就都没有了。
更完形态是有一个自动化机制，能够自动把IC注入到LB中。或者，能自动把GSLB的域名注入到全球负载均衡上面就更完美了。
总结来说，NGINX的IC可以提供更好的场景覆盖与基于角色的管理，支持更多的协议，也会有专业的服务。
点击联系发帖人
