Ver el código de «MCC - Exponer cluster de Kubernetes con Ingress»

== Requerimientos ==

IP Variable por ISP:

Configurar un servicio **DDNS** en mi router Ej: **no-ip.com**, y además, crear un registro **CNAME** en el DNS de su dominio con el subdominio Ej: '''domus.maxiscomputers.com''' el cual apunte a su DDNS, en este caso Ej: '''maxiscomputers.dyndns.net'''.

IP Fija: Redirigir puertos a ingress.

Quiero adaptar mi clúster de Kubernetes para que haga proxy inverso y genere automáticamente un certificado SSL con **Let's Encrypt**. ¿Es esto posible, dado esta arquitectura de DDNS y CNAME entre el dominio final que va a usar el usuario vs el DDNS?

=== Descripción del Escenario ===

* **DDNS con no-ip.com**: Utilizas un DDNS para gestionar los cambios de IP de tu router, con '''maxiscomputers.dyndns.net''' como dominio proporcionado.
* **Subdominio personalizado**: '''domus.maxiscomputers.com''' es el subdominio, con un registro CNAME apuntando a '''maxiscomputers.dyndns.net'''.
* **Let's Encrypt**: Usarás Let's Encrypt para generar certificados SSL para el subdominio '''domus.maxiscomputers.com'''.

=== Retos a Considerar ===

* **Verificación de Let's Encrypt (HTTP-01)**: Let's Encrypt necesita verificar el control sobre tu dominio antes de emitir un certificado. Para la verificación HTTP-01, se comprobará un archivo expuesto en la ruta '''http://domus.maxiscomputers.com/.well-known/acme-challenge/''' desde tu clúster.
* **Actualización de IP**: Como tu IP cambia cada 24 horas, debes asegurarte de que el DDNS esté actualizado para que Let's Encrypt apunte a la IP correcta al hacer la verificación. No-ip.com se encarga de este aspecto.
* **Certificado para CNAME**: A pesar de que el subdominio real apunta a un DDNS, Let's Encrypt validará el dominio '''domus.maxiscomputers.com''' para emitir el certificado.

=== Solución Propuesta ===

Usaremos **cert-manager** en el clúster de Kubernetes, junto con un Ingress Controller (como **NGINX** o **Traefik**) para manejar el tráfico HTTPS y solicitar automáticamente los certificados de Let's Encrypt. El Ingress Controller actuará como un proxy inverso para redirigir el tráfico, y cert-manager gestionará los certificados SSL.

=== Pre-requisto ===

Agregar el siguiente CRD al cluster:

== Instalar los CRDs de cert-manager ==

Cuando instalas cert-manager con Helm, es importante que los CRDs también se instalen. Si no los instalaste previamente, puedes hacerlo de esta manera:

<pre>kubectl apply -f https://github.com/jetstack/cert-manager/releases/download/v1.10.0/cert-manager.crds.yaml</pre>

Esto instalará las CRDs necesarias para que cert-manager pueda manejar recursos personalizados como ClusterIssuer.

== Verificar la Instalación de cert-manager ==

Después de instalar los CRDs, verifica que cert-manager esté correctamente instalado y funcionando:

<pre>kubectl get pods --namespace cert-manager</pre>

Deberías ver los pods de cert-manager en ejecución.

== Aplicar el ClusterIssuer ==

Una vez que los CRDs estén instalados y cert-manager esté corriendo correctamente, vuelve a aplicar el manifiesto del ClusterIssuer:

<pre>kubectl apply -f clusterissuer.yaml</pre>

Verifica que el ClusterIssuer se haya creado correctamente:

<pre>kubectl get clusterissuer</pre>

Si aparece en la lista, estará listo para usar con tus recursos de Ingress.

==== Pasos a Seguir ====

1. **Instalar cert-manager**

Cert-manager gestionará la obtención y renovación de los certificados SSL de Let's Encrypt automáticamente.


# Agrega el repositorio Helm de Jetstack

<pre>helm repo add jetstack https://charts.jetstack.io</pre>

# Instala cert-manager en tu clúster

<pre>helm install cert-manager jetstack/cert-manager   --namespace cert-manager --create-namespace   --version v1.10.0
</pre>

2. **Crear un ClusterIssuer para Let's Encrypt**

Configura un ClusterIssuer para que cert-manager pueda solicitar certificados de Let's Encrypt usando la verificación HTTP-01.

<pre>
apiVersion: cert-manager.io/v1
kind: ClusterIssuer
metadata:
  name: letsencrypt-prod
spec:
  acme:
    server: https://acme-v02.api.letsencrypt.org/directory
    email: admin@maxiscomputers.com  # Reemplaza con tu email
    privateKeySecretRef:
      name: letsencrypt-prod
    solvers:
    - http01:
        ingress:
          class: nginx
</pre>

Aplica el ClusterIssuer:

<pre>kubectl apply -f clusterissuer.yaml</pre>

3. **Configurar el Ingress para tu Aplicación**

Suponiendo que tienes un servicio en el puerto 80 en Kubernetes, configuraremos un recurso Ingress para gestionar el proxy inverso y la solicitud del certificado SSL.

<pre>
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: k8s-maxiscomputers-ingress
  namespace: maxiscomputers
  annotations:
    cert-manager.io/cluster-issuer: "letsencrypt-prod"
    nginx.ingress.kubernetes.io/force-ssl-redirect: "true"
    nginx.ingress.kubernetes.io/rewrite-target: /
    kubernetes.io/ingress.class: "nginx"  # Asegúrate de usar la clase correcta
spec:
  rules:
  - host: domus.maxiscomputers.com
    http:
      paths:
      - path: /
        pathType: Prefix
        backend:
          service:
            name: k8s-maxiscomputers
            port:
              number: 80
  tls:
  - hosts:
    - domus.maxiscomputers.com
    secretName: domus-tls
</pre>

Aplica el Ingress:

<pre>kubectl apply -f ingress.yaml</pre>

4. **Verificar la Configuración de DDNS**

Asegúrate de que el dominio '''domus.maxiscomputers.com''' esté correctamente apuntando a '''maxiscomputers.dyndns.net''', y que tu router actualice el DDNS automáticamente.

5. **Configurar Ingress Controller (NGINX)**

Si aún no tienes un Ingress Controller, puedes instalar NGINX con:

<pre>helm repo add ingress-nginx https://kubernetes.github.io/ingress-nginx
helm install ingress-nginx ingress-nginx/ingress-nginx   --namespace ingress-nginx --create-namespace</pre>

=== Renovación Automática del Certificado ===
Cert-manager se encargará de renovar el certificado antes de su vencimiento (por defecto, cuando falten 30 días).

== Conclusión ==

Con esta configuración, **cert-manager** solicitará automáticamente un certificado SSL para tu dominio '''domus.maxiscomputers.com''', a pesar de que uses un CNAME hacia un DDNS. El certificado se renovará automáticamente y el Ingress Controller (NGINX en este caso) gestionará el tráfico y la redirección a HTTPS.