Hetzner-K3s项目中SSL证书配置问题的深度解析与解决方案

问题背景

在使用Hetzner-K3s部署Kubernetes集群时，用户经常会遇到SSL证书配置问题，特别是在结合Nginx Ingress Controller和Cert-Manager进行HTTPS服务暴露时。本文将以一个典型场景为例，深入分析SSL_PROTOCOL_ERROR错误的根本原因，并提供完整的解决方案。

核心问题分析

在用户案例中，部署完成后访问服务出现ERR_SSL_PROTOCOL_ERROR错误，这通常表明SSL/TLS握手失败。经过深入排查，发现存在三个关键配置问题：

1. 代理协议配置不一致：Hetzner负载均衡器启用了Proxy Protocol，但Nginx Ingress Controller未正确配置接收Proxy Protocol流量
2. YAML配置结构错误：用户将Helm values.yaml与ConfigMap配置错误地合并在了同一文件中
3. 证书签发流程异常：Cert-Manager可能因上述网络配置问题无法完成ACME验证挑战

详细解决方案

1. 正确分离配置类型

错误做法：将Helm chart values与ConfigMap资源混合在同一YAML文件中

正确做法：

# 先安装Ingress-Nginx
helm upgrade --install ingress-nginx ingress-nginx/ingress-nginx \
  -f ingress-nginx-values.yaml \
  --namespace ingress-nginx \
  --create-namespace

# 再单独创建ConfigMap
kubectl apply -f ingress-nginx-configmap.yaml

2. 完整的Proxy Protocol配置

ingress-nginx-values.yaml应包含：

controller:
  kind: DaemonSet
  service:
    annotations:
      load-balancer.hetzner.cloud/location: nbg1
      load-balancer.hetzner.cloud/name: ingress-nginx-lb
      load-balancer.hetzner.cloud/use-private-ip: "true"
      load-balancer.hetzner.cloud/uses-proxyprotocol: "true"
      load-balancer.hetzner.cloud/hostname: k8s.larvepoire.app

ingress-nginx-configmap.yaml应包含：

apiVersion: v1
kind: ConfigMap
metadata:
  name: ingress-nginx-controller
  namespace: ingress-nginx
data:
  use-proxy-protocol: "true"
  real-ip-header: "proxy_protocol"
  set-real-ip-from: "0.0.0.0/0"

3. 证书签发验证策略

对于HTTP-01验证方式，确保：

1. Ingress Controller正确暴露80端口
2. 域名DNS解析已指向负载均衡器IP
3. 防火墙允许80/443端口入站流量

验证步骤

1. 检查Ingress Controller日志：

kubectl logs -n ingress-nginx -l app.kubernetes.io/name=ingress-nginx

2. 验证证书签发状态：

kubectl get certificaterequest -A
kubectl describe certificate rancherk8s.larvepoire.app-tls

3. 测试HTTPS连接：

curl -vI https://rancherk8s.larvepoire.app

经验总结

1. 配置分离原则：Helm values与Kubernetes资源应保持分离
2. 协议一致性：负载均衡器与后端服务的协议配置必须匹配
3. 渐进式验证：从底层网络层开始逐步验证，先HTTP再HTTPS
4. 日志分析：系统组件日志是排查证书问题的第一手资料

通过以上系统化的分析和解决方案，用户可以彻底解决Hetzner-K3s环境中的SSL证书配置问题，建立可靠的HTTPS服务暴露机制。