如何让OpenShift Route同时支持PAAS内外访问？

嘿，这个问题我之前在帮客户排查OpenShift内部服务访问时遇到过好几次——外部通过Route访问正常，但内部Pod调用Route域名就失败，核心原因通常逃不开内部DNS无法解析Route域名或者Ingress Controller没对集群内部开放端点。下面给你几个实用的解决方案，按复杂度从低到高排序，你可以根据自己的集群权限和场景选：

1. 先搞定集群内部的Route域名解析 #

这是最常见的诱因，先验证下是不是这个问题：
进入APP1的Pod里跑个命令：

oc rsh <你的APP1 Pod名称>
nslookup <APP2的Route域名>  # 比如nslookup app2-myproject.apps.cluster.example.com

如果返回NXDOMAIN，那就是DNS解析挂了，直接按下面的方法修复：

• 如果用的是集群默认Ingress域名：找集群管理员编辑CoreDNS的ConfigMap（oc edit configmap coredns -n openshift-dns），加一条解析规则指向Ingress Controller的LoadBalancer IP或者内部Service IP，比如：

  apps.cluster.example.com:53 {
      errors
      cache 30
      forward . <Ingress控制器的LB IP>
  }
  

  保存后CoreDNS会自动重载，内部Pod就能解析Route域名了。

• 如果用的是自定义Route域名：比如你把Route设成了app2.example.com，那就在公司内部的DNS服务器上加两条A记录：一条指向集群外部的Ingress LoadBalancer IP（给外部用户用），另一条指向集群内部的Ingress Controller Service ClusterIP（给内部Pod用）。这样不管是外部还是内部，用同一个域名就能访问到APP2。

2. 配置Ingress Controller允许内部访问 #

如果DNS解析正常，但内部访问还是失败，那大概率是Ingress Controller的端点只对外部开放。先查下当前的发布策略：

oc get ingresscontroller/default -n openshift-ingress-operator -o yaml | grep endpointPublishingStrategy

如果是LoadBalancerService或者NodePortService，默认内部应该能访问，但如果是HostNetwork，得确保Pod所在节点的网络能通Ingress Controller的端口。

要是需要同时支持内外访问，让集群管理员把发布策略改成内部LoadBalancer（很多云厂商支持这种类型）：

oc patch ingresscontroller/default -n openshift-ingress-operator --type=merge -p '{"spec":{"endpointPublishingStrategy":{"type":"LoadBalancerService","loadBalancer":{"scope":"Internal"}}}}'

这样Ingress Controller会生成一个内部可访问的LoadBalancer IP，内部Pod通过这个IP访问Route，外部则通过外部LoadBalancer（如果配置了双栈）或者把DNS指向外部IP就行。

3. 用OpenShift Service Mesh统一入口（微服务场景首选） #

如果你的集群跑的是微服务，推荐用OpenShift Service Mesh（基于Istio）来彻底解决这个问题：

• 部署好Service Mesh后，给APP2创建VirtualService和Gateway：Gateway负责处理外部流量，VirtualService同时绑定内部服务发现和外部Gateway。
• 这样不管是外部用户还是内部Pod，都能用同一个域名（比如app2.example.com）访问APP2，Service Mesh会自动识别访问来源——内部直接路由到APP2的Service，外部通过Gateway转发，完全不用改应用代码。

4. 应用层面临时适配（不推荐，应急用） #

如果以上集群层面的方案暂时没法实施，只能在APP1里做临时适配：

• 部署APP1时加个环境变量，比如APP2_ACCESS_URL，外部部署时设成Route域名，内部部署时设成APP2的Service ClusterIP+端口。
• 在APP1的代码里读取这个环境变量来调用APP2。不过这种方法需要改代码，维护起来麻烦，只能当临时救急方案。

总结下：优先搞定DNS解析或者调整Ingress Controller的配置，这俩方案不用改代码就能实现统一域名访问；如果是微服务场景，Service Mesh是长期最优解。

内容的提问来源于stack exchange，提问作者scoulomb