首页
/ Hetzner-K3s项目中SSL证书配置问题的深度解析与解决方案

Hetzner-K3s项目中SSL证书配置问题的深度解析与解决方案

2025-07-02 14:59:14作者:吴年前Myrtle

问题背景

在使用Hetzner-K3s部署Kubernetes集群时,用户经常会遇到SSL证书配置问题,特别是在结合Nginx Ingress Controller和Cert-Manager进行HTTPS服务暴露时。本文将以一个典型场景为例,深入分析SSL_PROTOCOL_ERROR错误的根本原因,并提供完整的解决方案。

核心问题分析

在用户案例中,部署完成后访问服务出现ERR_SSL_PROTOCOL_ERROR错误,这通常表明SSL/TLS握手失败。经过深入排查,发现存在三个关键配置问题:

  1. 代理协议配置不一致:Hetzner负载均衡器启用了Proxy Protocol,但Nginx Ingress Controller未正确配置接收Proxy Protocol流量
  2. YAML配置结构错误:用户将Helm values.yaml与ConfigMap配置错误地合并在了同一文件中
  3. 证书签发流程异常:Cert-Manager可能因上述网络配置问题无法完成ACME验证挑战

详细解决方案

1. 正确分离配置类型

错误做法:将Helm chart values与ConfigMap资源混合在同一YAML文件中

正确做法

# 先安装Ingress-Nginx
helm upgrade --install ingress-nginx ingress-nginx/ingress-nginx \
  -f ingress-nginx-values.yaml \
  --namespace ingress-nginx \
  --create-namespace

# 再单独创建ConfigMap
kubectl apply -f ingress-nginx-configmap.yaml

2. 完整的Proxy Protocol配置

ingress-nginx-values.yaml应包含:

controller:
  kind: DaemonSet
  service:
    annotations:
      load-balancer.hetzner.cloud/location: nbg1
      load-balancer.hetzner.cloud/name: ingress-nginx-lb
      load-balancer.hetzner.cloud/use-private-ip: "true"
      load-balancer.hetzner.cloud/uses-proxyprotocol: "true"
      load-balancer.hetzner.cloud/hostname: k8s.larvepoire.app

ingress-nginx-configmap.yaml应包含:

apiVersion: v1
kind: ConfigMap
metadata:
  name: ingress-nginx-controller
  namespace: ingress-nginx
data:
  use-proxy-protocol: "true"
  real-ip-header: "proxy_protocol"
  set-real-ip-from: "0.0.0.0/0"

3. 证书签发验证策略

对于HTTP-01验证方式,确保:

  1. Ingress Controller正确暴露80端口
  2. 域名DNS解析已指向负载均衡器IP
  3. 防火墙允许80/443端口入站流量

验证步骤

  1. 检查Ingress Controller日志:
kubectl logs -n ingress-nginx -l app.kubernetes.io/name=ingress-nginx
  1. 验证证书签发状态:
kubectl get certificaterequest -A
kubectl describe certificate rancherk8s.larvepoire.app-tls
  1. 测试HTTPS连接:
curl -vI https://rancherk8s.larvepoire.app

经验总结

  1. 配置分离原则:Helm values与Kubernetes资源应保持分离
  2. 协议一致性:负载均衡器与后端服务的协议配置必须匹配
  3. 渐进式验证:从底层网络层开始逐步验证,先HTTP再HTTPS
  4. 日志分析:系统组件日志是排查证书问题的第一手资料

通过以上系统化的分析和解决方案,用户可以彻底解决Hetzner-K3s环境中的SSL证书配置问题,建立可靠的HTTPS服务暴露机制。

登录后查看全文
热门项目推荐
相关项目推荐