使用 SOCKS5 代理访问 Kubernetes API

特性状态： Kubernetes v1.24 [stable]

本页介绍如何使用 SOCKS5 代理访问远程 Kubernetes 集群的 API。当你想访问的集群没有直接在公共互联网上暴露其 API 时，这非常有用。

开始之前

你需要一个 Kubernetes 集群，并且 kubectl 命令行工具必须配置为与你的集群通信。建议在本教程中使用至少包含两个非控制平面主机的节点集群上运行。如果你还没有集群，可以使用 minikube 创建一个，或者使用以下 Kubernetes 线上实践环境：

你的 Kubernetes 服务器必须是 v1.24 或更高版本。

要查看版本，请输入 kubectl version。

你需要 SSH 客户端软件（ssh 工具）以及在远程服务器上运行的 SSH 服务。你必须能够登录远程服务器上的 SSH 服务。

任务背景

注意

本示例使用 SSH 隧道传输流量，其中 SSH 客户端和服务器充当 SOCKS 代理。你也可以使用任何其他类型的 SOCKS5 代理。

图 1 展示了你在本任务中将要实现的目标。

你有一台客户端计算机，在后续步骤中称为本地（local），你将从这台计算机发起与 Kubernetes API 通信的请求。
Kubernetes 服务器/API 托管在远程服务器上。
你将使用 SSH 客户端和服务器软件在本地和远程服务器之间创建一个安全的 SOCKS5 隧道。客户端和 Kubernetes API 之间的 HTTPS 流量将通过 SOCKS5 隧道传输，而 SOCKS5 隧道本身又通过 SSH 隧道传输。

graph LR; subgraph local[本地客户端计算机] client([client])-. 本地
流量 .-> local_ssh[本地 SSH
SOCKS5 代理]; end local_ssh[SSH
SOCKS5
服务器]-- 本地流量 -->service1; end client([client])-. 代理的 HTTPS 流量
通过代理 .->service1[Kubernetes API]; classDef plain fill:#ddd,stroke:#fff,stroke-width:4px,color:#000; classDef k8s fill:#326ce5,stroke:#fff,stroke-width:4px,color:#fff; classDef cluster fill:#fff,stroke:#bbb,stroke-width:2px,color:#326ce5; class ingress,service1,service2,pod1,pod2,pod3,pod4 k8s; class client plain; class cluster cluster;

图 1. SOCKS5 教程组件

使用 ssh 创建 SOCKS5 代理

以下命令在你的客户端计算机和远程 SOCKS 服务器之间启动一个 SOCKS5 代理

# The SSH tunnel continues running in the foreground after you run this
ssh -D 1080 -q -N username@kubernetes-remote-server.example

SOCKS5 代理允许你根据以下配置连接到集群的 API 服务器

-D 1080：在本地端口 :1080 上打开 SOCKS 代理。
-q：安静模式。抑制大部分警告和诊断消息。
-N：不执行远程命令。仅用于端口转发。
username@kubernetes-remote-server.example：运行 Kubernetes 集群的远程 SSH 服务器（例如：一个堡垒主机）。

客户端配置

要通过代理访问 Kubernetes API 服务器，你必须指示 kubectl 通过我们之前创建的 SOCKS 代理发送请求。可以通过设置相应的环境变量或通过 kubeconfig 文件中的 proxy-url 属性来完成此操作。使用环境变量

export HTTPS_PROXY=socks5://localhost:1080

要始终在特定的 kubectl 上下文中使用此设置，请在 ~/.kube/config 文件中相应的 cluster 条目中指定 proxy-url 属性。例如：

apiVersion: v1
clusters:
- cluster:
    certificate-authority-data: LRMEMMW2 # shortened for readability 
    server: https://<API_SERVER_IP_ADDRESS>:6443  # the "Kubernetes API" server, in other words the IP address of kubernetes-remote-server.example
    proxy-url: socks5://localhost:1080   # the "SSH SOCKS5 proxy" in the diagram above
  name: default
contexts:
- context:
    cluster: default
    user: default
  name: default
current-context: default
kind: Config
preferences: {}
users:
- name: default
  user:
    client-certificate-data: LS0tLS1CR== # shortened for readability
    client-key-data: LS0tLS1CRUdJT=      # shortened for readability

通过前面提到的 ssh 命令创建隧道并定义了环境变量或 proxy-url 属性后，你就可以通过该代理与集群进行交互。例如：

kubectl get pods

NAMESPACE     NAME                                     READY   STATUS      RESTARTS   AGE
kube-system   coredns-85cb69466-klwq8                  1/1     Running     0          5m46s

注意

在 kubectl 1.24 之前，大多数使用 socks 代理的 kubectl 命令都有效，除了 kubectl exec。
kubectl 支持 HTTPS_PROXY 和 https_proxy 环境变量。支持 SOCKS 的其他程序，例如 curl，也使用这些变量。因此，在某些情况下，最好在命令行上定义环境变量
```
HTTPS_PROXY=socks5://localhost:1080 kubectl get pods
```
使用 proxy-url 时，代理仅用于相关的 kubectl 上下文，而环境变量会影响所有上下文。
通过使用 socks5h 协议名而不是上面所示的更常用的 socks5 协议，可以进一步保护 k8s API 服务器主机名免受 DNS 泄露的影响。在这种情况下，kubectl 将要求代理服务器（例如 SSH 堡垒机）解析 k8s API 服务器的域名，而不是在运行 kubectl 的系统上解析。另请注意，使用 socks5h 时，https://localhost:6443/api 这样的 k8s API 服务器 URL 指的不是你的本地客户端计算机。相反，它指的是代理服务器（例如 SSH 堡垒机）上的 localhost。

清理

在运行 ssh 端口转发进程的终端上按 CTRL+C 停止该进程。

在终端中输入 unset https_proxy 以停止通过代理转发 http 流量。

使用 SOCKS5 代理访问 Kubernetes API

开始之前

任务背景

注意

使用 ssh 创建 SOCKS5 代理

客户端配置

注意

清理

延伸阅读

反馈