使用 SOCKS5 代理访问 Kubernetes API

特性状态： Kubernetes v1.24 [稳定版]

此页面展示如何使用 SOCKS5 代理来访问远程 Kubernetes 集群的 API。当你要访问的集群没有直接在公共互联网上暴露其 API 时，这很有用。

开始之前

你需要有一个 Kubernetes 集群，并且必须配置 kubectl 命令行工具才能与你的集群通信。建议在至少有两个不充当控制平面主机的节点的集群上运行本教程。如果你还没有集群，可以使用 minikube 创建一个，或者使用这些 Kubernetes 游乐场之一

你的 Kubernetes 服务器必须是 v1.24 或更高版本。要检查版本，请输入 kubectl version。

你需要 SSH 客户端软件（ssh 工具），以及在远程服务器上运行的 SSH 服务。你必须能够登录到远程服务器上的 SSH 服务。

任务上下文

注意

此示例使用 SSH 隧道传输流量，其中 SSH 客户端和服务器充当 SOCKS 代理。你可以改为使用任何其他类型的 SOCKS5 代理。

图 1 表示你在此任务中将要实现的目标。

你有一台客户端计算机，在接下来的步骤中称为本地，你将从这里创建请求以与 Kubernetes API 通信。
Kubernetes 服务器/API 托管在远程服务器上。
你将使用 SSH 客户端和服务器软件在本地服务器和远程服务器之间创建安全的 SOCKS5 隧道。客户端和 Kubernetes API 之间的 HTTPS 流量将通过 SOCKS5 隧道传输，该隧道本身通过 SSH 隧道传输。

graph LR; subgraph local[本地客户端机器] client([客户端])-. local
traffic .-> local_ssh[本地 SSH
SOCKS5 代理]; end local_ssh[SSH
SOCKS5
代理]-- SSH 隧道 -->sshd subgraph remote[远程服务器] sshd[SSH
服务器]-- 本地流量 -->service1; end client([客户端])-. 通过代理的代理 HTTPs 流量
通过代理 .->service1[Kubernetes API]; classDef plain fill:#ddd,stroke:#fff,stroke-width:4px,color:#000; classDef k8s fill:#326ce5,stroke:#fff,stroke-width:4px,color:#fff; classDef cluster fill:#fff,stroke:#bbb,stroke-width:2px,color:#326ce5; class ingress,service1,service2,pod1,pod2,pod3,pod4 k8s; class client plain; class cluster cluster;

图 1. SOCKS5 教程组件

使用 ssh 创建 SOCKS5 代理

以下命令在你的客户端机器和远程 SOCKS 服务器之间启动 SOCKS5 代理

# The SSH tunnel continues running in the foreground after you run this
ssh -D 1080 -q -N username@kubernetes-remote-server.example

SOCKS5 代理允许你根据以下配置连接到你的集群的 API 服务器

-D 1080：在本地端口 :1080 上打开 SOCKS 代理。
-q：安静模式。导致大多数警告和诊断消息被抑制。
-N：不执行远程命令。仅用于转发端口很有用。
username@kubernetes-remote-server.example：Kubernetes 集群在其后运行的远程 SSH 服务器（例如：堡垒主机）。

客户端配置

要通过代理访问 Kubernetes API 服务器，你必须指示 kubectl 通过我们之前创建的 SOCKS 代理发送查询。可以通过设置适当的环境变量或通过 kubeconfig 文件中的 proxy-url 属性来实现。使用环境变量

export HTTPS_PROXY=socks5://127.0.0.1:1080

要在特定的 kubectl 上下文中始终使用此设置，请在 ~/.kube/config 文件中相关 cluster 条目中指定 proxy-url 属性。例如

apiVersion: v1
clusters:
- cluster:
    certificate-authority-data: LRMEMMW2 # shortened for readability 
    server: https://<API_SERVER_IP_ADDRESS>:6443  # the "Kubernetes API" server, in other words the IP address of kubernetes-remote-server.example
    proxy-url: socks5://127.0.0.1:1080   # the "SSH SOCKS5 proxy" in the diagram above
  name: default
contexts:
- context:
    cluster: default
    user: default
  name: default
current-context: default
kind: Config
preferences: {}
users:
- name: default
  user:
    client-certificate-data: LS0tLS1CR== # shortened for readability
    client-key-data: LS0tLS1CRUdJT=      # shortened for readability

一旦你通过前面提到的 ssh 命令创建了隧道，并定义了环境变量或 proxy-url 属性，你就可以通过该代理与你的集群进行交互。例如

kubectl get pods

NAMESPACE     NAME                                     READY   STATUS      RESTARTS   AGE
kube-system   coredns-85cb69466-klwq8                  1/1     Running     0          5m46s

注意

在 kubectl 1.24 之前，大多数 kubectl 命令在使用 socks 代理时都能正常工作，除了 kubectl exec。
kubectl 支持 HTTPS_PROXY 和 https_proxy 环境变量。这些变量被其他支持 SOCKS 的程序使用，例如 curl。因此，在某些情况下，最好在命令行上定义环境变量
```
HTTPS_PROXY=socks5://127.0.0.1:1080 kubectl get pods
```
当使用 proxy-url 时，代理仅用于相关的 kubectl 上下文，而环境变量将影响所有上下文。
通过使用 socks5h 协议名称而不是上面显示的更常见的 socks5 协议，可以进一步保护 k8s API 服务器主机名免受 DNS 泄漏。在这种情况下，kubectl 将要求代理服务器（例如 ssh 堡垒）解析 k8s API 服务器域名，而不是在运行 kubectl 的系统上解析它。另请注意，使用 socks5h 时，类似 https://127.0.0.1:6443/api 的 k8s API 服务器 URL 不会引用你的本地客户端计算机。相反，它引用代理服务器（例如 ssh 堡垒）上已知的 localhost。

清理

按运行它的终端上的 CTRL+C 停止 ssh 端口转发进程。

在终端中键入 unset https_proxy 以停止通过代理转发 http 流量。

使用 SOCKS5 代理访问 Kubernetes API

开始之前

任务上下文

注意

使用 ssh 创建 SOCKS5 代理

客户端配置

注意

清理

延伸阅读

反馈