Предложение: Отказ от привязки к Hostname для поддержки бесплатных аккаунтов Cloudflare

Цель

Описать необходимые изменения на стороне платформы Nextcode для перехода на использование бесплатных аккаунтов Cloudflare при работе с зеркалами продуктов.

Проблема

На данный момент для запуска зеркала продукта на платформе Nextcode необходимо использовать функционал Hostname Rewrite. Этот функционал доступен либо на тарифе Cloudflare Enterprise, либо требует использования промежуточного Cloudflare Worker.

При большом количестве продуктов и зеркал администрирование множества воркеров усложняет поддержку и ведет к проблемам эксплуатации.

Текущая архитектура

Типовая настройка DNS для зеркала (например, mirror.com) выглядит следующим образом:

@ CNAME brand-public.internal.corp.loc

При такой настройке на хост brand-public.internal.corp.loc приходят запросы с заголовком Host: mirror.com.

Это означает, что brand-public.internal.corp.loc должен принимать запросы с любым Host заголовком и корректно маршрутизировать их в соответствующий продукт.

Технические ограничения и требования

Реализация схемы с произвольным Host требует уточнения следующих моментов:

1. SSL/TLS: Оригинальный домен (origin) должен иметь SSL-сертификат. Со стороны Cloudflare необходимо либо явно указать режим Full (принимать любые сертификаты), либо выпустить специальный Cloudflare Origin CA сертификат.
2. K8s Ingress: В штатном режиме Ingress использует заголовок Host для маршрутизации. Без привязки к Host, контроллер может считать, что все запросы на один IP относятся к одному дефолтному бэкенду. Чтобы разделять продукты, пришлось бы выделять каждому продукту отдельный IP-адрес, что неэффективно.

Предлагаемое решение

Для решения проблемы маршрутизации в Kubernetes предлагается добавить поддержку кастомного заголовка x-brand-name и использовать его для определения продукта вместо заголовка Host.

Преимущества подхода

Для добавления заголовка x-brand-name можно использовать Cloudflare Transform Rules, которые доступны на бесплатных тарифах Cloudflare. Это позволит активировать новые зеркала без необходимости выполнения обновлений конфигурации со стороны платформы.

Сохранение источника трафика

Для сохранения информации о том, с какого зеркала пришел пользователь, предлагается также передавать заголовок x-hostname (или X-Forwarded-Host), содержащий реальный hostname запроса.

Итог

Необходимо изменить способ маршрутизации (матчинга) продуктов на Ingress-контроллере:

• Текущая схема: Host заголовок определяет бренд.
• Новая схема: Заголовок x-brand-name определяет бренд.

Дополнительно:

• Добавить чтение заголовка x-hostname для сохранения информации о источнике трафика.