通过ELB Gateway暴露服务

前提条件

• 已创建Kubernetes集群，且集群版本满足以下要求：
  • v1.30集群：v1.30.14-r120及以上版本
  • v1.31集群：v1.31.14-r80及以上版本
  • v1.32集群：v1.32.13-r50及以上版本
  • v1.33集群：v1.33.13-r0及以上版本
  • v1.34集群：v1.34.10-r0及以上版本
  • v1.35集群：v1.35.7-r0及以上版本
  • v1.36集群：v1.36.3-r0及以上版本
  • 其他更高版本的集群
• 集群中已创建后端应用及对应的Service。本文中后端应用为Nginx，Service名称为backend，Service端口为3000。您可以将以下YAML内容保存为backend.yaml，然后执行kubectl apply -f backend.yaml命令。

  apiVersion: apps/v1
  kind: Deployment
  metadata:
    name: backend
    namespace: default
  spec:
    replicas: 2
    selector:
      matchLabels:
        app: backend
        version: v1
    template:
      metadata:
        labels:
          app: backend
          version: v1
      spec:
        containers:
          - name: container-1
            image: nginx:latest
        imagePullSecrets:
          - name: default-secret
  ---
  apiVersion: v1
  kind: Service
  metadata:
    name: backend
    labels:
      app: backend
      version: v1
    namespace: default
  spec:
    selector:
      app: backend
      version: v1
    ports:
      - name: cce-service-0
        targetPort: 80
        port: 3000
        protocol: TCP
    type: ClusterIP

注意事项

• ELB Gateway不支持使用已有监听器。
• 集群删除时，由CCE创建的监听器及监听器下的所有转发策略和后端服务器组均会删除。

核心概念

• GatewayClass：类似IngressClass定义了网关的控制器类型。
• Gateway、ListenerSet：配置具体的网关实例，比如监听的端口（如80或443）、端口的协议等。详见Gateway与ListenerSet参数配置。
• HTTPRoute：定义具体的流量路由规则（比如路径、Header、流量权重、查询参数等），并绑定到后端Service。详见HTTPRoute参数配置。

CCE新增了LoadBalancerAutoCreateConfiguration、ListenerConfiguration、PoolConfiguration三种自定义资源，通过创建和更新这些资源，可实现ELB参数配置、监听器参数配置和后端服务器组配置。

• LoadBalancerAutoCreateConfiguration（简称lbconfig）：ELB参数配置。创建lbconfig后，将其关联到自定义GatewayClass或Gateway，CCE会按照配置的参数自动创建ELB实例。详见自动创建负载均衡配置（lbconfig）。
• ListenerConfiguration（简称lsconfig）：监听器参数配置。创建Gateway、ListenerSet后，CCE会自动创建关联的lsconfig，您可通过修改lsconfig来调整监听器配置。详见监听器参数配置（lsconfig）。
• PoolConfiguration（简称poolconfig）：后端服务器组配置，关联Service。创建HTTPRoute后，若关联的Service尚无poolconfig，CCE会自动创建。您可通过poolconfig设置健康检查等后端服务器组配置。多个HTTPRoute关联同一个Service时，共享同一个poolconfig。详见后端服务器组配置（poolConfig）。

默认GatewayClass

CCE提供了以下默认GatewayClass，您可在创建Gateway时指定以下GatewayClass。

步骤一：创建Gateway

创建Gateway，关联CCE管理的GatewayClass。示例如下：

创建Gateway，关联CCE管理的GatewayClass。示例如下：
apiVersion: gateway.networking.k8s.io/v1
kind: Gateway                      # 资源类型为Gateway
metadata:
  name: cce-gateway              # Gateway名称
  namespace: default
spec:
  gatewayClassName: cce-shared-internal  # GatewayClass名称
  listeners:
    - name: http
      protocol: HTTP               # 协议
      port: 80                     # 监听端口

在此示例中，该Gateway关联cce-shared-internal GatewayClass，会自动创建共享型私网ELB，并为此ELB创建协议为HTTP、端口为80的监听器。

步骤二：使用ListenerSet

1. Gateway开启ListenerSet挂载许可。

   apiVersion: gateway.networking.k8s.io/v1
   kind: Gateway
   metadata:
     name: parent-gateway
     namespace: default
   spec:
     gatewayClassName: cce-shared-internal
     # 必填：开启ListenerSet挂载许可
     allowedListeners:
       namespaces:
         from: Same       # 可选：Same（仅同命名空间）、All（跨所有命名空间）、Selector（按Label筛选）
     listeners:
       - name: default-http
         port: 80
         protocol: HTTP

2. 创建ListenerSet关联Gateway。

   apiVersion: gateway.networking.k8s.io/v1
   kind: ListenerSet
   metadata:
     name: app-team-listeners
     namespace: default
   spec:
     # 绑定到目标Gateway
     parentRef:
       group: gateway.networking.k8s.io
       kind: Gateway
       name: parent-gateway
     # 定义该集合下的专属监听规则
     listeners:
       - name: https-app
         port: 443
         protocol: HTTPS

   创建完成后，CCE会自动为ListenerSet中的监听器创建对应的lsconfig，您可通过修改lsconfig来配置证书等监听器参数。

3. 修改lsconfig为HTTPS监听器添加证书。

   1. 使用以下命令精确查询ListenerSet监听器所对应的lsconfig名称：

      kubectl get lsconfig -n default -l gateway.cce.io/listenerset-name=app-team-listeners,gateway.cce.io/listener-section-name=https-app

      输出结果示例：

      NAME                                 TARGET               ACCEPTED   AGE
      app-team-listeners-https-app-kprrt   app-team-listeners   False      11s

   2. 编辑ListenerConfiguration，添加证书。

      apiVersion: gateway.cce.io/v1alpha1
      kind: ListenerConfiguration
      metadata:
        name: app-team-listeners-https-app-kprrt
        namespace: default
      spec:
        targetRef:
          group: gateway.networking.k8s.io
          kind: ListenerSet
          name: app-team-listeners
          sectionName: https-app
        defaultServerCertificate:       #服务器证书
          secretRef:
            name: tls-default-cert      #同命名空间的Secret名称
        sniCertificates:
          - domain: "*.example.com"       #域名
            secretRef:
              name: tls-wildcard-example     #同命名空间的Secret名称

   3. 查看ELB侧监听器证书添加成功。

步骤三：创建HTTPRoute

创建HTTPRoute，关联Gateway，并定义路由规则将流量转发到后端Service。示例如下：

apiVersion: gateway.networking.k8s.io/v1
kind: HTTPRoute                # 资源类型为HTTPRoute
metadata:
  name: backend                # HTTPRoute名称
  namespace: default
spec:
  parentRefs:
    - group: gateway.networking.k8s.io
      kind: Gateway
      name: cce-gateway
  hostnames:
    - "www.example.com"    #域名
  rules:
    - backendRefs:
        - group: ""
          kind: Service
          name: backend        # 已创建的Service名称
          port: 3000           # Service的端口
          weight: 1
      matches:
        - path:
            type: PathPrefix   # 前缀匹配
            value: /

在此示例中，来自Gateway的HTTP流量，访问域名为www.example.com将被路由到Service的3000端口。

步骤四：测试访问

1. 查询Gateway的IP地址。

   kubectl get gateway cce-gateway -o jsonpath='{.status.addresses[?(@.type=="IPAddress")].value}'

2. 测试访问，其中xx.xx.xx.xx为ELB地址。

   curl -I -H "Host: www.example.com" http://xx.xx.xx.xx 

   预期回显如下：

   HTTP/1.1 200 OK
   server: nginx/1.23.2
   date: Thu, 28 May 2026 01:47:02 GMT
   content-type: text/html
   content-length: 615
   last-modified: Wed, 19 Oct 2022 07:56:21 GMT
   etag: "634fada5-267"
   accept-ranges: bytes

更多场景