物联网网关神器 Kong （四）- 利用 Konga 来配置生产环境安全连接 Kong

忘是亡心i 2023-01-22 09:58 17阅读 0赞

# 物联网网关神器 Kong （ 四 ）- 利用 Konga 来配置生产环境安全连接 Kong #

## 前言 ##

上一篇我们讲解了 Konga 的搭建和与 Kong 进行默认连接，本篇文章将讲一下如何在生产环境中基于验证的连接 Kong ，并详细讲解其中的参数。

### 前期准备 ###

> 如果你需要在生产环境使用，那么你可以将 admin 端口只监听 127.0.0.1 ，然后通过 Kong 自己进行代理并增加效验。

首先，你可以通过默认方法连接上你的 Kong admin，这样方便进行配置。而后创建 Service。

#### Service （ 服务 ） ####

Service 是 Kong 对于服务的抽象概念。其本意为我们自定义的上游服务，可以通过 Kong 对路由的抽象（ Route ）来对一个请求进行转发或通过 Kong 的插件机制 （ Plugins ）进行处理。

> 我们将在下文对 Route 和 Plugins 进行介绍。

**下面我们将展示如何创建一个 Service。**

![img.png][]

**属性详解：**

*  Name ： 该服务的名称。
 *  Description ： 用于对自定义服务的描述。
 *  Tags ：为该服务打上标签，便于通过 tag 来区分。
 *  Url ：方便配置 protocol、host、port、path。
 *  Protocol ：使用 HTTP/HTTPS 连接被代理的服务。
 *  Host ：被代理服务的 host。
 *  Port ：被代理服务的端口。
 *  Path ： 被代理服务的路径。
 *  Retries ：代理请求失败重试几次。默认值为5秒。
 *  Connect timeout ：与代理服务建立连接超时时间。
 *  Write timeout ：与代理服务完成写请求的超时时间。
 *  Read timeout ： 与代理服务完成读请求的超时时间。
 *  Client certificate ：证书的id。（ 关于怎么配置证书见下文 ）

我们来填写相关属性，建立一个新的服务。

![img\_1.png][img_1.png]

创建成功后可以看到一个新列表，里面就有我们刚才创建的 kong-admin

![img\_2.png][img_2.png]

接下来我们需要点击这个 Name，进入该 Service 的配置页面。

![img\_3.png][img_3.png]

进入配置页面后我们会发现左边有一个选择栏，右边则是这个服务的详细配置。

左边选择栏讲解：

*  Service details ： 服务的详细配置。
 *  Routes ： 该服务的路由。
 *  Plugins ： 该服务所使用的插件。
 *  Eligible Consumers ： 适用于 ACL Kong 插件。（ 具体用法日后再进行讲解 ）

#### Route （ 路由 ） ####

Route 是 Kong 对于服务路由的抽象。其功能类似于 `Nginx` 中的 `location` 结构块。

**下面我们将展示如何创建一个 Route**

![20210511143250600.png][]

**属性详解：**

*  Name：Route 的名字
 *  Tags：为该路由打上标签，便于通过 tag 来区分。
 *  Hosts：路由所匹配的域名，可填写多个。（ 填写后要按回车才会记录数据 ）
 *  Paths：路由所匹配的域名的路径。
 *  Headers：路由所匹配 HTTP 请求 header 内携带的参数。
 *  Path handling：用于控制代理服务的时候如何转发请求路径。( 值为 V0、V1 )

> V0 - 其主要实现的为：
> 
> 请求 /user => 路由的 path /a 则最后会被组合为 /a/user
> 
> V1 - 其主要实现为：
> 
> 请求 /user => 路由的 path /a 则最后被组合为 /auser

*  Https redirect status code：当匹配到路由后如果协议不符合，则 Kong 会主动响应该状态吗。默认为426。
 *  Regex priority：正则匹配的优先级。在使用正则做路由匹配的时候会利用该标志使用优先级最高的。

> 如果路由匹配，且 Regex priority 也相同，则会按照最早创建的规则来匹配。

*  Methods：HTTP 请求方法。如 GET 、POST 、PATCH 、PUT
 *  Strip Path：是否删除路由所匹配的路径。

> 例如路由的规则为 /a，请求为 /a/user。 则当 Kong 接受到该请求在转发时会将该路径改变为 => /user

*  Preserve Host：是否将请求端的 host 保留
 *  Protocols：接受的协议。 HTTP 或 HTTPS
 *  SNIs：使用 Socket 路由时，与此路由匹配的SNI列表。 使用tcp或tls协议时，必须设置SNIs，源或目标之一。
 *  Sources：使用 Socket 路由时，与此路由匹配的传入连接的 IP 源列表。其格式为 IP:PORT。
 *  Destinations：使用 Socket 路由时，与此路由匹配的目标连接的 IP 源列表。其格式为 IP:PORT。

现在我们创建了一个 Service 的路由

![img\_6.png][img_6.png]

接下来，我们可以使用该域名访问 Kong admin 了。

![img\_7.png][img_7.png]

#### Consumer （ 消费者 ） ####

为了配置 Kong 的插件，我们首先要了解什么是 Consumer 。 Consumer 代表服务的使用者或用户。 首先，我们创建一个 Consumer。

![img\_11.png][img_11.png]

![img\_12.png][img_12.png]

点击我们新建的 kong-admin 然后配置 Credentials 的 API KEYS。

![img\_13.png][img_13.png]

点击 Create API KEY 来新建一个 key。

![img\_15.png][img_15.png]

*  key - 密钥。如果为空则会自动生成一个。

> 记住生成的密钥，待会儿会用。

![img\_16.png][img_16.png]

#### Plugin （ 插件 ） ####

刚才我们已经成功创建了密钥，接下来我们就要配置权限登陆了。

我们选取之前提到的 Key Auth 来进行验权安全登陆。

首先，打开 Plugins 的页面。

![img\_8.png][img_8.png]

添加一个 Key Auth 插件。

![img\_9.png][img_9.png]

填写相关的参数。

![img\_17.png][img_17.png]

**属性详解：**

*  consumer：用于区分 Kong 插件的消费者，为空则对应所有的消费者。
 *  key names：key 的名称，可支持多个 key 。
 *  hide credentials：是否隐藏凭据到上游 API 服务器。
 *  anonymous：配置匿名访问者的 id 。

#### 重启 Kong 容器 ####

经过这么多步骤的配置，现在我们我们已经对 Kong 的管理接口进行了验权。我们只需要重启 Docker 容器，使得其端口只监听内部的请求即可。

#### 成功安全连接到 Kong ####

现在，我们已经配置好了安全连接。当我们访问刚才测试的域名时会得到一个异常。

![img\_18.png][img_18.png]

好，接下来我们配置 Konga 进行安全连接。选择 Key AUTH 的登陆方式。然后把刚才记录的密钥填上。

![img\_19.png][img_19.png]

*  Name：连接名称
 *  Loopback API URL：kong 的管理端口 URL。格式为 http://… 或 https:// …
 *  API key：密钥

![img\_20.png][img_20.png]

现在我们已经使用安全连接成功的连接到 Kong 服务。

## 总结 ##

本篇文章利用配置安全连接 Kong 服务来讲解了 Kong 的 Service、Route、Consumer 和 Key Auth 插件。

[img.png]: /images/20221020/553350bc5ddc4e17a8dbc399cf9fd183.png
[img_1.png]: /images/20221020/f3f8c07cccb8494e92d1bc3521a8d15a.png
[img_2.png]: /images/20221020/666d23370e3c43548d49673631bd67a4.png
[img_3.png]: /images/20221020/98004b2983a345319bb664b2faf690c5.png
[20210511143250600.png]: /images/20221020/e002024f3be54f18ab9710d2aef4f8ca.png
[img_6.png]: /images/20221020/51fe13b59b814494ab5586f2cd421cb8.png
[img_7.png]: /images/20221020/c92ea8b10b0d471c9ac25d9a8e321767.png
[img_11.png]: /images/20221020/8298073f947343dbb4708c57e6321e36.png
[img_12.png]: /images/20221020/6d3c26268ab145a5b136eaba096adec2.png
[img_13.png]: /images/20221020/36d12e68d0e94235a1e789345f2c3f25.png
[img_15.png]: /images/20221020/3166b213da614e0e97ce9b065481cb30.png
[img_16.png]: /images/20221020/edb639cc461c45c0bb93704ed84bd9c0.png
[img_8.png]: /images/20221020/270369a02a7f4d69b6a3dc0482412504.png
[img_9.png]: /images/20221020/e83d36cf67a84162a90b36a784274516.png
[img_17.png]: /images/20221020/d6918d66d9f94c30a6a35339cfd88ed0.png
[img_18.png]: /images/20221020/365b09f0ab9a494ba02827e4d0f36591.png
[img_19.png]: /images/20221020/20755dc582054b6782d409eb26f99629.png
[img_20.png]: /images/20221020/73c56ad019c34a49a4655c7024502d5f.png