Kubernetes ExternalName Service无法正常桥接HTTPS连接问题

你遇到的HTTPS证书校验失败问题和ExternalName Service的配置本身无关，核心逻辑如下：

• ExternalName Service仅工作在DNS层面，会为opensearch-service.development.svc.cluster.local生成一条指向你配置的AWS OpenSearch域名的CNAME记录，不会对任何上层网络报文做修改
• TLS握手阶段，客户端默认会使用当前访问的域名（即K8s内部服务名）做SNI携带，同时校验服务端返回证书的SAN（主题备用名称）列表是否包含该访问域名。AWS OpenSearch实例默认签发的证书仅绑定*.es.amazonaws.com后缀的官方分配域名，不包含K8s集群内部的服务域名，因此会触发证书校验失败，这也是加-k参数跳过校验后可以正常连通的原因。

以下方案均不需要跳过证书校验，可实现合规的HTTPS连接，你可以根据自身场景选择：

• 方案1：客户端侧自定义TLS校验规则（推荐，无额外组件开销）
  保留现有ExternalName Service配置不变，在应用的OpenSearch连接参数中做两处配置即可：
  1. 连接地址填写内部服务地址opensearch-service.development.svc.cluster.local:443
  2. 单独配置TLS校验的主机名、SNI名为AWS OpenSearch的官方域名my_internal_aws_url_for_elasticsearch.es.amazonaws.com
     几乎所有主流OpenSearch/Elasticsearch官方客户端、通用HTTP客户端都支持单独配置SSL校验域名、SNI参数，配置后连接仍然走K8s内部Service的解析链路，TLS握手时携带正确的SNI，证书校验匹配证书内绑定的AWS域名，即可正常通过校验。
• 方案2：CoreDNS直接解析OpenSearch官方域名（无应用配置改动）
  如果你不方便修改应用的连接配置，可以直接调整集群CoreDNS配置，确保AWS OpenSearch的官方域名可以被正常解析到VPC内网地址即可，不需要额外创建ExternalName类型Service。这种方式下应用直接使用AWS分配的官方域名作为连接地址，访问域名和证书绑定域名完全匹配，证书校验可直接通过，网络链路和你当前的方案完全一致，不需要做任何安全层面的妥协。
• 方案3：为OpenSearch配置自定义域名（适合统一内部服务域名规范场景）
  如果你必须使用opensearch-service这类内部自定义域名作为访问地址，可以在AWS侧为OpenSearch实例配置自定义端点，使用ACM签发包含对应自定义域名的证书并绑定到OpenSearch实例上，同时在集群内部DNS中将自定义域名解析到OpenSearch的VPC内网地址即可。这种方案需要你持有对应自定义域名的管理权，适配成本较高，适合有统一内部服务命名规范的场景。

不要尝试通过修改ExternalName Service的端口、添加注解、调整sessionAffinity这类配置解决问题，ExternalName Service本身仅做DNS CNAME转发，没有能力修改服务端返回的TLS证书内容，这类操作都无法解决证书域名不匹配的核心问题。

内容的提问来源于stack exchange，提问作者Ricardo Cunha