Kubernetes部署ASP.NET Core时HTTP转HTTPS重定向失效问题咨询

问题背景 #

ASP.NET Core Web应用已在Startup.cs中配置重定向：

app.UseHttpsRedirection();

但部署到本地Kali Linux的Kubernetes集群后，该重定向未生效，应用可同时通过HTTP和HTTPS访问。相关配置如下：

Ingress配置 #

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: first-ingress
  annotations:
    nginx.ingress.kubernetes.io/rewrite-target: /
spec:
  tls:
  - secretName: ssl
  rules:
  - http:
      paths:
      - path: /
        pathType: Prefix
        backend:
          service:
            name: first-service
            port:
              number: 8080

Ingress开放了80和443端口。

Deployment配置 #

apiVersion: apps/v1
kind: Deployment
metadata:
  name: first-dep
  labels:
    app: aspnet-core-app
spec:
  replicas: 1
  selector: 
    matchLabels:
      component: web
  template:
    metadata: 
      labels:
        component: web
    spec:
      containers:
        - name: csimpleweb
          image: simpleweb
          imagePullPolicy: Never
          ports:
            - containerPort: 80

Service配置 #

apiVersion: v1
kind: Service
metadata:
  name: first-service
spec:
  type: NodePort
  selector:
    component: web
  ports:
    - port: 8080
      targetPort: 80

问题解答 #

1. K8s+ASP.NET Core环境下重定向的工作机制，为何应用层配置未生效？ #

ASP.NET Core的app.UseHttpsRedirection()核心逻辑是：检查当前请求的协议是否为HTTPS，若不是则返回302重定向到HTTPS地址。在你的K8s架构中，失效原因有三点：

• SSL终止在Ingress层：Ingress控制器负责处理用户的HTTPS请求，完成SSL解密后，用HTTP协议转发请求到后端Service和Pod。因此应用收到的所有请求都是HTTP协议，UseHttpsRedirection()无法检测到外部的HTTPS请求，不会触发重定向。
• 应用容器未启用HTTPS：从Deployment配置看，容器仅监听80端口，应用本身没有配置HTTPS服务（未加载SSL证书、未监听443端口）。即便UseHttpsRedirection()想触发重定向，也没有可用的HTTPS端点跳转，逻辑无法执行。
• 缺少反向代理头信任配置：默认情况下，ASP.NET Core不会信任Ingress传递的X-Forwarded-Proto等头信息，无法识别外部请求的真实协议。即便Ingress传递了这些头，应用也不会用它来判断是否需要重定向。

2. 是否应在Ingress层面实现重定向？若如此该如何配置，是否需移除应用中的app.UseHttpsRedirection()？ #

在K8s环境中，推荐在Ingress层面实现HTTP到HTTPS的重定向，这是更合理的架构：Ingress作为集群入口网关，统一处理SSL终止和协议重定向，避免每个应用重复配置，降低应用层复杂度。

配置方法

修改Ingress的metadata.annotations，添加Nginx Ingress控制器的重定向注解：

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: first-ingress
  annotations:
    nginx.ingress.kubernetes.io/rewrite-target: /
    # 启用HTTP到HTTPS的永久重定向
    nginx.ingress.kubernetes.io/ssl-redirect: "true"
    # 强制所有请求跳转到HTTPS（可选，增强安全性）
    nginx.ingress.kubernetes.io/force-ssl-redirect: "true"
spec:
  tls:
  - secretName: ssl
  rules:
  - http:
      paths:
      - path: /
        pathType: Prefix
        backend:
          service:
            name: first-service
            port:
              number: 8080

关于app.UseHttpsRedirection()的处理

• 如果已经在Ingress层面实现全量重定向，可以直接移除应用中的app.UseHttpsRedirection()，避免冗余逻辑。
• 若想保留应用层的安全校验（比如防止绕过Ingress直接访问Pod），可以修改应用配置，让它信任Ingress的反向代理头：
  在Program.cs（或Startup.cs）中添加反向代理头配置：

  app.UseForwardedHeaders(new ForwardedHeadersOptions
  {
      ForwardedHeaders = ForwardedHeaders.XForwardedFor | ForwardedHeaders.XForwardedProto
  });
  // 确保UseHttpsRedirection在UseForwardedHeaders之后调用
  app.UseHttpsRedirection();
  

  同时配置环境变量ASPNETCORE_FORWARDEDHEADERS_ENABLED=true，或在appsettings.json中添加：

  "ForwardedHeaders": {
    "Enabled": true,
    "ForwardedHeaders": "XForwardedFor,XForwardedProto"
  }
  

  这种配置下，应用能根据Ingress传递的X-Forwarded-Proto头识别外部真实协议，触发重定向。但一般来说，Ingress层面的重定向已足够覆盖绝大多数场景。

3. Pod承载的Docker容器需开放哪些端口，配置方式是什么？ #

容器需要开放的端口取决于应用实际监听的端口：

• 从当前配置看，ASP.NET Core应用在容器内监听80端口，所以只需开放80端口即可。
• 若后续为应用配置HTTPS，需额外开放443端口，但在K8s架构下，通常不需要在容器内启用HTTPS，因为Ingress已处理SSL终止。

配置方式

1. Dockerfile层面：用EXPOSE指令声明容器开放的端口（仅为声明，不会实际打开端口，用于告知Docker容器监听的端口）：

   EXPOSE 80
   # 若启用HTTPS，添加以下行
   # EXPOSE 443
   

2. K8s Deployment层面：在spec.containers.ports中配置containerPort，指定容器监听的端口（K8s通过该端口与容器通信）：

   containers:
     - name: csimpleweb
       image: simpleweb
       imagePullPolicy: Never
       ports:
         - containerPort: 80
           name: http # 可选，指定端口名称，方便Service引用
         # 若启用HTTPS，添加以下配置
         # - containerPort: 443
         #   name: https
   

3. Service层面：确保targetPort与Deployment中的containerPort一致，保证Service能正确转发流量到容器对应端口：

   ports:
     - port: 8080
       targetPort: 80
       name: http
   

内容的提问来源于stack exchange，提问作者yogihosting