启用重写目标时，CERT-MANAGER HTTP01证书挑战是无法访问的

Question

我们使用GKE中的Ingress-Nginx控制器暴露了十几种服务。

为了在同一域名上正确路由流量，我们需要使用重写目标规则。

自2019年推出以来，这些服务运行良好，没有任何维护，直到最近。当Cert-Manager突然停止续订Let's Encrypt证书时，我们通过临时从Ingress定义中删除“ TLS”部分来“解决”此问题，从而迫使我们的客户使用HTTP版本。

之后，我们删除了所有试图从头开始设置的CERT-MANAGER痕迹。

现在，CERT-MANAGER正在创建证书签名请求，催生ACME HTTP求解器POD并将其添加到入口处，但是在访问其URL后，我可以看到它返回空白的响应，而不是预期的令牌。

这与重写目标的注释有关，这使ACME挑战的路线弄乱了。 最困惑的是，这曾经用过以前的工作。 （不幸的是，它是由前员工设置的）

禁用重写目标不是一个选择，因为它将阻止路由正确工作。

使用DNS01不起作用，因为我们的ISP不支持DNS记录的程序化更改。

有没有办法在不禁用重写目标的情况下进行这项工作？

ps 这是在GitHub上报告的许多类似案例：

• https://github.com/ cert-manager/cert-manager/essess/2826
• https://github.com/cert-manager/cert-manager/issues/487

它们都没有帮助。

这是我的clusterissuer的定义

apiVersion: cert-manager.io/v1
kind: ClusterIssuer
metadata:
  name: letsencrypt-prod
spec:
  acme:
    # The ACME server URL
    server: https://acme-v02.api.letsencrypt.org/directory
    # Email address used for ACME registration
    email: [email protected]
    # Name of a secret used to store the ACME account private key
    privateKeySecretRef:
      name: letsencrypt-prod
    # Enable the HTTP-01 challenge provider
    solvers:
    - http01:
        ingress:
            class: nginx

Answer 1

请分享您正在使用的集群发行人或问题。

IngressClass

如果指定了 IngressClass 字段， cert-Manager 将创建
新的入口资源以将流量路由到
acmesolver POD，负责响应 acme
挑战验证请求。

参考： .12-docs/configuration/acme/http01/＃infressClass

大多数情况下，我们看不到http求解器挑战的挑战，如果DNS或HTTP工作正常，则会删除它。

另外，请确保您的入口没有SSL重新授予注释，这也可能是 CERTS 不会产生的原因。

您是否尝试检查其他经理的对象，例如订单和证书状态请求？ kubectl描述挑战您是否获得 404 ？

如果您不断尝试，您可能会击中我们加密要求生成证书的速率限制。

故障排除： https://cert-manager.io /docs/faq/故障排除/＃故障排除-a-failed-certificate-requecest

Answer 2

如果对任何人有帮助，我将头发拔出一天后解决了这个问题。

解决方案是在不重写的情况下创建替代入口。原始的入口就是这样。

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: reward-ingress-https
  namespace: prod
  annotations:
    nginx.ingress.kubernetes.io/rewrite-target: /$2
spec:
  ingressClassName: public
  tls: 
  - hosts: 
    - home.myhome.net 
    secretName: my-secret
  rules:
  - host: "home.myhome.net"
    http:
      paths:
      - pathType: Prefix
        path: /reward(/|$)(.*)
        backend:
          service:
            name: reward-service
            port:
              number: 7777

为了确保这不会干扰Letsencrypt的请求，我创建了其他入口：

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: acme-ingress
  namespace: prod
  annotations:
    cert-manager.io/cluster-issuer: prod-issuer 
    acme.cert-manager.io/http01-edit-in-place: "true" 
spec:
  ingressClassName: public
  rules:
  - host: "home.myhome.net"
    http:
      paths:
      - pathType: Prefix
        path: /.well-known/acme-challenge/
        backend:
          service:
            name: cert-manager
            port:
              number: 8089

Answer 3

当您使用 http01 配置发行人时，默认的ServiceType为 nodePort 。这意味着，它甚至都不会贯穿入口控制器。来自 docs> docs ：

默认情况下，当您不设置http01或将ServiceType设置为空字符串时，将使用类型NodePort。通常无需更改此。

我不确定您的其余设置看起来如何，但是 http01 导致ACME服务器发出HTTP请求（而不是HTTPS）。您需要确保您的nginx具有HTTP（80）的侦听器。它确实遵循重定向，因此您可以在HTTP上聆听并将所有流量重定向到HTTPS，这是合法的。

CERT-MANAGER创建 Ingress 用于验证的资源。它将流量引导到临时豆荚。此入口具有自己的一组规则，您可以使用此。您可以尝试在此资源上禁用或修改重写目标。

我尝试尝试的另一件事是从群集内部访问此URL（绕过Ingress Nginx）。如果直接工作，则是一个入口 /网络问题，否则是其他问题。

请分享相关的NGINX和CERT-MANAGER日志，这对于调试或了解您的问题存在可能很有用。