更新

Question 1

我也遇到了这个问题，最终通过查看 etcd 连接逻辑和所使用的库的代码以及来自 Calico 团队在他们的 Slack 频道中的一些指针找到了问题的根源。

问题在于，Calico 的当前版本（至少到 0.22.0）使用的 Python etcd 客户端不支持 TLS 证书中的 IP SAN（Subject Alt Name）。这意味着您使用的证书无法正确关联到它们所配置的 etcd 服务器。

这在此进行了描述GitHub 问题。

要解决此问题，您必须等到 urllib 库的新版本发布、etcd 客户端采用该库、发布新版本，并且更新 Calico 以使用新的 etcd 客户端。或者，您可以使用 FQDN 而不是 SAN 字段中的 IP 地址重新生成证书。这意味着您需要确保您的服务器可以通过这些名称访问，无论是使用 DNS 还是/etc/hosts正确设置。用于生成证书的 OpenSSL 配置应包含以下内容：

[alt_names]
DNS.1 = $ENV::FQDN

描述您如何生成证书的链接使用CFSSL因此我建议阅读其文档，了解如何改为使用主机名而不是 IP 地址。我相信这可能很简单，只需修改 JSON 配置即可，如下所示：

"hosts": [
    "example.com",
    "www.example.com"
],

Answer

我也遇到了这个问题，最终通过查看 etcd 连接逻辑和所使用的库的代码以及来自 Calico 团队在他们的 Slack 频道中的一些指针找到了问题的根源。

问题在于，Calico 的当前版本（至少到 0.22.0）使用的 Python etcd 客户端不支持 TLS 证书中的 IP SAN（Subject Alt Name）。这意味着您使用的证书无法正确关联到它们所配置的 etcd 服务器。

这在此进行了描述GitHub 问题。

要解决此问题，您必须等到 urllib 库的新版本发布、etcd 客户端采用该库、发布新版本，并且更新 Calico 以使用新的 etcd 客户端。或者，您可以使用 FQDN 而不是 SAN 字段中的 IP 地址重新生成证书。这意味着您需要确保您的服务器可以通过这些名称访问，无论是使用 DNS 还是/etc/hosts正确设置。用于生成证书的 OpenSSL 配置应包含以下内容：

[alt_names]
DNS.1 = $ENV::FQDN

描述您如何生成证书的链接使用CFSSL因此我建议阅读其文档，了解如何改为使用主机名而不是 IP 地址。我相信这可能很简单，只需修改 JSON 配置即可，如下所示：

"hosts": [
    "example.com",
    "www.example.com"
],

Question 2

我发现，如果满足以下条件，使用这个不稳定的库我可以成功：客户端打开与 IP 地址的连接；服务器的证书在主题中声明该 IP 地址；并且服务器的证书在主题备用名称列表中没有任何 DNS 类型条目。以下是示例服务器证书的选定输出，当客户端使用 IP 地址打开连接以识别服务器openssl x509 -text ...时，该证书有效：10.10.10.1

...
        Subject: CN=10.10.10.1
...
        X509v3 extensions:
            X509v3 Basic Constraints: 
                CA:FALSE
            X509v3 Key Usage: 
                Digital Signature, Non Repudiation, Key Encipherment
            X509v3 Subject Alternative Name: 
                IP Address:100.127.0.2, IP Address:100.127.0.2, IP Address:10.10.10.1
...

此外，Calico 镜像也有更新版本。我只听说过两件关于的坏事calico/node:v0.23.0。一件来自别人 ---https://calicousers.slack.com/archives/kubernetes/p1478206011002345我自己也对该图像进行了一些测试，只发现一个问题，https://github.com/projectcalico/calico-containers/issues/1107。目前有 v1.0.0 betas 和 rc1，我没听到关于它们的不好的消息。

Answer

我发现，如果满足以下条件，使用这个不稳定的库我可以成功：客户端打开与 IP 地址的连接；服务器的证书在主题中声明该 IP 地址；并且服务器的证书在主题备用名称列表中没有任何 DNS 类型条目。以下是示例服务器证书的选定输出，当客户端使用 IP 地址打开连接以识别服务器openssl x509 -text ...时，该证书有效：10.10.10.1

...
        Subject: CN=10.10.10.1
...
        X509v3 extensions:
            X509v3 Basic Constraints: 
                CA:FALSE
            X509v3 Key Usage: 
                Digital Signature, Non Repudiation, Key Encipherment
            X509v3 Subject Alternative Name: 
                IP Address:100.127.0.2, IP Address:100.127.0.2, IP Address:10.10.10.1
...

此外，Calico 镜像也有更新版本。我只听说过两件关于的坏事calico/node:v0.23.0。一件来自别人 ---https://calicousers.slack.com/archives/kubernetes/p1478206011002345我自己也对该图像进行了一些测试，只发现一个问题，https://github.com/projectcalico/calico-containers/issues/1107。目前有 v1.0.0 betas 和 rc1，我没听到关于它们的不好的消息。

更新

更新

更新 2

更新 3

答案1

答案2

相关内容