NetScalerでHTTP、TCP、またはSSLプロファイルを構成する

Kubernetes環境におけるNetScaler構成を理解する

HTTPプロファイル

TCPプロファイル

SSLプロファイル

アノテーションを使用したフロントエンドプロファイルの構成

• 同じフロントエンドIPアドレスを持つすべてのイングレスでは、すべてのイングレスでフロントエンドプロファイルに同じ値を指定することをお勧めします。
• フロントエンドIPアドレスを共有する複数のイングレスがある場合、空のルールを持つ各フロントエンドIPアドレスに対して個別のイングレス（フロントエンドイングレスと呼ばれる）を作成することもできます。そのイングレスでは、以下の例に示すようにフロントエンドIPアノテーションを指定できます。各イングレス定義でフロントエンドプロファイルアノテーションを指定する必要はありません。
  • HTTPタイプの仮想サーバーのフロントエンドイングレスを作成するには、以下の例を参照してください。
     #Sample ingress manifest for the front-end configuration for an HTTP virtual server
 #The values for the parameters are for demonstration purpose only.


 apiVersion: networking.k8s.io/v1
 kind: Ingress
 metadata:
   name: frontend-ingress
   annotations:
   # /* The CS virtual server is derived from the combination of
 insecure-port/secure-port, frontend-ip, and
 secure-service-type/insecure-service-type annotations. */
     ingress.citrix.com/insecure-port: "80"
     ingress.citrix.com/frontend-ip: "x.x.x.x"
     ingress.citrix.com/frontend-httpprofile:'{"dropinvalreqs":"enabled", "markconnreqInval" : "enabled"}'
     ingress.citrix.com/frontend-tcpprofile: '{"ws":"enabled", "sack" :
 "enabled"}'
 spec:
   rules:
    # Empty rule
   - host:
  • SSLタイプのサービスのフロントエンドイングレスを作成するには、以下の例を参照してください。
     #Sample ingress manifest for the front-end configuration for an SSL virtual server
 #The values for the parameters are for demonstration purpose only.


 apiVersion: networking.k8s.io/v1
 kind: Ingress
 metadata:
   name: frontend-ingress
   annotations:
   #The CS virtual server is derived from the combination of
   #insecure-port/secure-port, frontend-ip, and
   #secure-service-type/insecure-service-type annotations.
     ingress.citrix.com/insecure-port: "80"
     ingress.citrix.com/secure-port: "443"
     ingress.citrix.com/frontend-ip: "x.x.x.x"
     ingress.citrix.com/frontend-sslprofile:
 '{"tls13":"enabled", "hsts" : "enabled"}'
     ingress.citrix.com/frontend-tcpprofile: '{"ws":"enabled", "sack" :
 "enabled"}'
 spec:
   rules:
   - host:
     #Presense of tls is considered as a secure service
   tls:
   - hosts:
• 複数のイングレスで同じフロントエンドプロファイルアノテーションに異なる値がある場合、プロファイルを仮想サーバーにバインドするために次の順序が使用されます。
  • いずれかのイングレス定義に、事前設定されたプロファイルを持つフロントエンドアノテーションがある場合、それは仮想サーバーにバインドされます。
  • 同じフロントエンドIPアドレスの異なるイングレスからすべての（キー、値）をマージし、結果の（キー、値）をフロントエンドプロファイルのスマートアノテーションに使用します。
  • 異なるイングレスからの異なる値が原因で同じキーに競合がある場合、値はランダムに選択され、他の値は無視されます。競合する値を持たないようにする必要があります。
• フロントエンドIPアドレスを共有するいずれのイングレスにもフロントエンドプロファイルアノテーションが指定されていない場合、FRONTEND_HTTP_PROFILE、FRONTEND_TCP_PROFILE、またはFRONTEND_SSL_PROFILEであるConfigMapからのグローバル値が、それぞれHTTP、TCP、およびSSLフロントエンドプロファイルに使用されます。

ConfigMap変数を使用したグローバルフロントエンドプロファイル構成

バックエンド構成

Ingress NetScalerで組み込みまたは既存のユーザー定義プロファイルを使用する

HTTP、SSL、およびTCPプロファイルを適用する例

1. 必要なプロファイルを使用してフロントエンドIngressリソースを定義します。このIngressリソースでは、バックエンドとTLSは定義されていません。
   サンプルYAML (ingress1.yaml) は次のとおりです。
   apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: ingress-vpx1
  annotations:
    ingress.citrix.com/insecure-termination: "allow"
    ingress.citrix.com/frontend-ip: "10.221.36.190"
    ingress.citrix.com/frontend-tcpprofile: '{"ws":"disabled", "sack" : "disabled"}'
    ingress.citrix.com/frontend-httpprofile: '{"dropinvalreqs":"enabled", "markconnreqInval" : "enabled"}'
    ingress.citrix.com/frontend-sslprofile: '{"hsts":"enabled", "tls13" : "enabled"}'
spec:
  ingressClassName: "vpx"
  tls:
  - hosts:
  rules:
  - host:
2. フロントエンドIngressリソースを展開します。
   kubectl create -f ingress1.yaml を実行します。
3. 同じフロントエンドIPアドレスとTLS、およびロードバランシングリソース定義を作成するバックエンドが定義されたセカンダリイングレスリソースを定義します。
   サンプルのYAML (ingress2.yaml) は以下のとおりです。
   apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: ingress-vpx2
  annotations:
  ingress.citrix.com/insecure-termination: "allow"
  ingress.citrix.com/frontend-ip: "10.221.36.190"
spec:
  ingressClassName: "vpx"
  tls:
  - secretName: <hotdrink-secret>
  rules:
  - host:  hotdrink.beverages.com
    http:
      paths:
      - path:
        backend:
          serviceName: frontend-hotdrinks
          servicePort: 80
4. バックエンドイングレスリソースを展開します。
   kubectl create -f ingress2.yaml
5. YAMLが適用されると、対応するエンティティ、プロファイル、およびイングレスリソースが作成され、イングレスリソースにバインドされます。
   # show cs vserver <k8s150-10.221.36.190_443_ssl>

  k8s150-10.221.36.190_443_ssl (10.221.36.190:443) - SSL Type: CONTENT
  State: UP
  Last state change was at Thu Apr 22 20:14:44 2021
  Time since last state change: 0 days, 00:10:56.850
  Client Idle Timeout: 180 sec
  Down state flush: ENABLED
  Disable Primary Vserver On Down : DISABLED
  Comment: uid=QEYQI2LDW5WR4A6P3NSZ37XICKOJKV4HPEM2H4PSK4HWA3JQWCLQ====
  TCP profile name: k8s150-10.221.36.190_443_ssl
  HTTP profile name: k8s150-10.221.36.190_443_ssl
  Appflow® logging: ENABLED
  State Update: DISABLED
  Default:   Content Precedence: RULE
  Vserver IP and Port insertion: OFF
  L2Conn: OFF Case Sensitivity: ON
  Authentication: OFF
  401 Based Authentication: OFF
  Push: DISABLED Push VServer:
  Push Label Rule: none
  Persistence: NONE
  Listen Policy: NONE
  IcmpResponse: PASSIVE
  RHIstate:  PASSIVE
  Traffic Domain: 0

  1)  Content-Switching Policy: k8s150-ingress-vpx1_tier-2-adc_443_k8s150-frontend-hotdrinks_tier-2-adc_80_svc    Priority: 200000004   Hits: 0
  Done