监听器参数配置（lsconfig）

方法一：修改系统自动生成的lsconfig

1. 创建目标Gateway资源，系统将自动为其绑定的监听器生成默认的 lsconfig。

   apiVersion: gateway.networking.k8s.io/v1
   kind: Gateway                      # 资源类型为 Gateway
   metadata:
     name: cce-gateway              # Gateway 名称
     namespace: default
   spec:
     gatewayClassName: cce-shared-internal  # GatewayClass 名称
     listeners:
       - name: http              #监听器名称
         protocol: HTTP               # 协议
         port: 80                     # 监听端口

2. 修改lsconfig调整配置。

   通过kubectl命令行修改

   1. 查询关联的lsconfig资源名称

      您可以使用以下命令精确查询指定Gateway或ListenerSet监听器所对应的lsconfig名称：

      • 查询Gateway关联的lsconfig名称：

        kubectl get lsconfig -n <namespace> -l gateway.cce.io/gateway-name=<name>,gateway.cce.io/listener-section-name=<sectionName>

      • 查询ListenerSet关联的lsconfig名称：

        kubectl get lsconfig -n <namespace> -l gateway.cce.io/listenerset-name=<name>,gateway.cce.io/listener-section-name=<sectionName>

      参数说明：

      • <namespace>：Gateway或ListenerSet所在的命名空间。
      • <name>：目标资源名称。不超过 63 个字符则直接使用原名称；超过则保留前 54 个字符（去除末尾 -_. 等分隔符），并通过连字符 - 拼接原名称的前 8 位 SHA-256 哈希值（例如：nameprefix-dc876bc7）。
      • <sectionName>：目标监听器的名称（即 spec.listeners[].name）。

      使用示例： 查询命名空间为default、Gateway名称为cce-gateway、监听器名称为http的lsconfig：

      kubectl get lsconfig -n default -l gateway.cce.io/gateway-name=cce-gateway,gateway.cce.io/listener-section-name=http

      输出结果示例：

      NAME                     TARGET        ACCEPTED   AGE
      cce-gateway-http-vwpjf   cce-gateway   True       11s

   2. 修改lsconfig调整配置

      执行以下命令直接编辑对应的lsconfig，修改保存后系统将自动同步更新ELB监听器配置：

      kubectl edit lsconfig cce-gateway-http-vwpjf -n default

   通过控制台修改

   1. 登录CCE控制台，单击集群名称进入集群。
   2. 选择左侧导航栏的“服务”，在右侧选择“网关 API”页签。

      

   3. 单击网关名称进入网关详情页，单击“高级配置”修改监听器配置。

      

方法二：预先创建lsconfig并关联Gateway

1. 创建lsconfig资源

   编写YAML配置文件，通过spec.targetRef明确指定待关联的Gateway/ListenerSet及其监听器名称。

   apiVersion: gateway.cce.io/v1alpha1
   kind: ListenerConfiguration
   metadata:
     name: lsconfig-http-listener
     namespace: default
   spec:
     targetRef:
       group: gateway.networking.k8s.io
       kind: Gateway                  #Gateway或ListenerSet
       name: my-gateway          #Gateway或ListenerSet名称
       sectionName: http-listener    #监听器名称 listener.name
     keepaliveTimeout: 60
     clientTimeout: 60
     memberTimeout: 180
     reclaimPolicy: Retain       #回收策略

   预先创建的lsconfig需要设置回收策略为Retain（保留），后续删除监听器后需要手动删除lsconfig。

2. 创建对应的Gateway资源。系统检测到已匹配的lsconfig后，将直接根据该配置创建并初始化ELB监听器。

   apiVersion: gateway.networking.k8s.io/v1
   kind: Gateway                      # 资源类型为 Gateway
   metadata:
     name: my-gateway              # Gateway 名称
     namespace: default
   spec:
     gatewayClassName: cce-shared-internal  # GatewayClass 名称
     listeners:
       - name: http-listener              #监听器名称
         protocol: HTTP               # 协议
         port: 80                     # 监听端口

配置HTTPS监听器证书

当监听器协议为HTTPS时，可通过lsconfig为其绑定具体的ELB服务端证书。

apiVersion: gateway.cce.io/v1alpha1
kind: ListenerConfiguration
metadata:
  name: lsconfig-https-listener
  namespace: default
spec:
  targetRef:
    group: gateway.networking.k8s.io
    kind: ListenerSet
    name: app-team-listeners
    sectionName: https-app
  defaultServerCertificate:       #服务器证书
    secretRef:
      name: tls-default-cert      #同命名空间的Secret名称
  sniCertificates:                     #sni证书
    - domain: "*.example.com"       #域名
      secretRef:
        name: tls-wildcard-example     #同命名空间的Secret名称
  clientCACertID: "ca-cert-id"          # 客户端 CA 证书 ID，留空表示单向 TLS（不做客户端认证）

配置监听器访问控制策略（黑/白名单）

通过配置访问控制列表（ACL），限制仅特定IP段可访问该监听器，或封禁特定来源IP。

apiVersion: gateway.cce.io/v1alpha1
kind: ListenerConfiguration
metadata:
  name: lsconfig-https-listener
  namespace: default
spec:
  targetRef:
    group: gateway.networking.k8s.io
    kind: Gateway
    name: my-gateway
    sectionName: https-listener
  ipACL:
    enable: true      #开启访问控制
    type: white       #白名单控制
    ipGroupIDs:
      - "ip-group-xxxx-1"     #ELB的IP地址组ID
      - "ip-group-xxxx-2"

开启HTTP/2协议

为HTTPS监听器开启HTTP/2特性，以提升传输性能与并发能力。

apiVersion: gateway.cce.io/v1alpha1
kind: ListenerConfiguration
metadata:
  name: lsconfig-https-listener
  namespace: default
spec:
  targetRef:
    group: gateway.networking.k8s.io
    kind: Gateway
    name: my-gateway
    sectionName: https-listener
  defaultServerCertificate:
    secretRef:
      name: tls-default-cert
  http2Enable: true     #开启HTTP/2功能

配置转发策略优先级

默认情况下，未显式指定优先级的路由将按创建时间排序。您可以通过在lsconfig中指定routePriorities列表来手动控制HTTPRoute的匹配顺序：

• 显式优先级（列表排序）：在routePriorities中声明的HTTPRoute，其列表中的出现顺序直接决定优先级（排在第一位的拥有最高优先级），优先于未列出的路由进行匹配。
• 默认规则（未列出的路由）：未在routePriorities中指定的HTTPRoute，将遵循Kubernetes Gateway API的标准排序规则自动计算优先级（按匹配精细度排序：优先匹配主机名更长/精确匹配的路由、匹配路径最长/精确匹配的路由、匹配Header/Query数量最多的路由，若匹配规则完全相同则按创建时间升序排列），排在显式指定的路由之后。

apiVersion: gateway.cce.io/v1alpha1
kind: ListenerConfiguration
metadata:
  name: lsconfig-https-listener
  namespace: default
spec:
  targetRef:
    group: gateway.networking.k8s.io
    kind: Gateway
    name: my-gateway
    sectionName: https-listener
  defaultServerCertificate:
    secretRef:
      name: tls-default-cert
  routePriorities:
    - routeRef:
        group: gateway.networking.k8s.io
        kind: HTTPRoute
        name: priority-route-1
    - routeRef:
        group: gateway.networking.k8s.io
        kind: HTTPRoute
        name: priority-route-2

配置超时时间

为监听器配置超时时间：

apiVersion: gateway.cce.io/v1alpha1
kind: ListenerConfiguration
metadata:
  name: my-listener-config
  namespace: default
spec:
  targetRef:
    group: gateway.networking.k8s.io    # 目标资源 API Group
    kind: Gateway                       # 目标资源类型
    name: my-gateway                    # 目标资源名称
    sectionName: https-listener         # 指定 Gateway 中的特定 Listener 名称
  keepaliveTimeout: 60                  # 客户端连接空闲超时（秒）
  clientTimeout: 60                     # 客户端请求超时（秒）
  memberTimeout: 60                    # 后端服务器响应超时（秒）

配置HTTP/HTTPS头字段

apiVersion: gateway.cce.io/v1alpha1
kind: ListenerConfiguration
metadata:
  name: my-listener-config
  namespace: default
spec:
  targetRef:
    group: gateway.networking.k8s.io    # 目标资源 API Group
    kind: Gateway                       # 目标资源类型
    name: my-gateway                    # 目标资源名称
    sectionName: https-listener         # 指定 Gateway 中的特定 Listener 名称
  reclaimPolicy: Retain  # 资源回收策略
  insertHeaders:                        # 控制插入到转发请求中的 ELB 生成头字段，仅 独享型ELB 支持
    xForwardedPort: true               # X-Forwarded-Port：将监听器端口号写入 HTTP 头
    xForwardedForPort: true            # X-Forwarded-For-Port：将客户端请求端口号写入 HTTP 头
    xForwardedHost: true                # X-Forwarded-Host：true=以请求头Host重写 / false=透传客户端的值
    xRealIP: true                       # X-Real-IP：true=以客户端源IP重写 / false=透传客户端的值
    xForwardedProto: true               # X-Forwarded-Proto：将客户端请求协议写入 HTTP 头
    xForwardedTLSCertificateID: true   # X-Forwarded-TLS-Certificate-ID：将 TLS 证书 ID 写入 HTTP 头
    xForwardedTLSProtocol: true        # X-Forwarded-TLS-Protocol：将 TLS 协议版本写入 HTTP 头
    xForwardedTLSCipher: true          # X-Forwarded-TLS-Cipher：将 TLS 加密套件写入 HTTP 头
    xForwardedELBIP: true             # X-Forwarded-ELB-IP：将弹性公网 IP 写入 HTTP 头
    xForwardedELBID: true             # X-Forwarded-ELB-ID：将负载均衡实例 ID 写入 HTTP 头