GKE内部Ingress实现HTTP转HTTPS重定向的替代方案咨询

以下是几种可行的替代方案，适配你的GKE内部Ingress场景：

1. 应用层直接实现重定向 #

这是最直接的方案，在Web应用本身的配置或代码中添加HTTP到HTTPS的重定向逻辑，无需依赖Ingress特性。

以Nginx应用为例，修改配置文件添加80端口的重定向规则：

server {
    listen 80;
    server_name your-internal-domain;
    # 永久重定向到HTTPS地址
    return 301 https://$server_name$request_uri;
}

如果是Spring Boot应用，可在application.properties中配置：

server.port=80
server.redirect-to-https=true
server.ssl.port=443

2. 用Sidecar容器处理重定向 #

给业务Pod添加一个轻量的Sidecar容器（如Nginx、Caddy），专门监听80端口并完成重定向，业务容器只处理HTTPS流量。

示例Deployment配置：

apiVersion: apps/v1
kind: Deployment
metadata:
  name: your-app-deployment
spec:
  replicas: 3
  selector:
    matchLabels:
      app: your-app
  template:
    metadata:
      labels:
        app: your-app
    spec:
      containers:
      # 业务容器，仅暴露HTTPS端口
      - name: your-app
        image: your-app-image:latest
        ports:
        - containerPort: 443
      # 重定向Sidecar，监听80端口
      - name: redirect-proxy
        image: nginx:alpine
        ports:
        - containerPort: 80
        volumeMounts:
        - name: redirect-config
          mountPath: /etc/nginx/conf.d
      volumes:
      - name: redirect-config
        configMap:
          name: redirect-nginx-config

对应的ConfigMap配置：

apiVersion: v1
kind: ConfigMap
metadata:
  name: redirect-nginx-config
data:
  redirect.conf: |
    server {
      listen 80;
      return 301 https://$host$request_uri;
    }

最后更新Service，将80端口指向Sidecar的80端口，443端口指向业务容器的443端口即可。

3. 结合Cloud Armor安全策略实现重定向 #

如果你的内部负载均衡器支持关联Cloud Armor安全策略，可以通过Cloud Armor的规则完成HTTP到HTTPS的重定向：

1. 创建安全策略：

gcloud compute security-policies create internal-redirect-policy \
  --description "Redirect HTTP to HTTPS for internal LB"

2. 添加重定向规则：

gcloud compute security-policies rules create 1000 \
  --security-policy internal-redirect-policy \
  --expression "request.protocol == 'HTTP'" \
  --action redirect \
  --redirect-type MOVED_PERMANENTLY \
  --redirect-target "https://${request.host}${request.uri}"

3. 将安全策略关联到内部负载均衡的后端服务：

gcloud compute backend-services update your-backend-service \
  --security-policy internal-redirect-policy \
  --global

4. 改用外部Ingress+VPC访问限制 #

如果业务允许，可替换为支持FrontEndConfig的外部Ingress，同时通过VPC防火墙规则或Ingress授权策略，限制仅内部VPC和VPN流量可访问：

• 配置外部Ingress并关联FrontEndConfig实现重定向
• 添加VPC防火墙规则，仅允许你的内部IP段和VPN客户端IP访问Ingress的80/443端口
• 或通过Ingress的kubernetes.io/ingress.allow-http: "false"配合授权策略，进一步加固访问控制

内容的提问来源于stack exchange，提问作者Asis