Co je Ingress a jak směruje externí provoz na Services?

Question

IT Interview Practice · Accepted Answer

**Ingress** je objekt Kubernetes, který definuje **pravidla směrování HTTP/HTTPS** — mapuje hostname a URL cesty na backendové **Services**. Naplňuje jej **Ingress Controller** (nginx, Traefik, cloudové gateway) a dává vám jeden vstupní bod, TLS termination a směrování podle host/path místo jednoho LoadBalanceru na službu.

## Problém, který Ingress řeší

```text
Vystavit mnoho služeb přes type: LoadBalancer znamená MNOHO cloudových LB (a veřejných IP)
— drahé a bez sdíleného směrování podle hostname/path nebo TLS.
Ingress dává JEDEN vstupní bod, který směruje podle host a path na interní ClusterIP Services.
```

## Jak to do sebe zapadá

```text
      Internet
         │
   ┌─────┴──────────────┐
   │ Ingress Controller │  (a Pod, e.g. nginx; usually behind ONE LoadBalancer)
   │  reads Ingress rules│
   └─────┬──────────────┘
         │ routes by host / path
   ┌─────┼───────────────┬───────────────┐
   ▼                     ▼               ▼
 Service: web        Service: api    Service: admin  (all ClusterIP)
   │                     │               │
 Pods                  Pods            Pods

Ingress (rules)  ≠  Ingress Controller (the running proxy that enforces them)
```

## Manifest Ingressu

```yaml
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: app-ingress
  annotations:
    nginx.ingress.kubernetes.io/rewrite-target: /
spec:
  ingressClassName: nginx
  tls:
    - hosts: [shop.example.com]
      secretName: shop-tls        # TLS cert/klíč uložený v Secretu
  rules:
    - host: shop.example.com
      http:
        paths:
          - path: /api
            pathType: Prefix
            backend:
              service:
                name: api
                port: { number: 80 }
          - path: /
            pathType: Prefix
            backend:
              service:
                name: web
                port: { number: 80 }
```

```text
shop.example.com/api/... → Service "api" → api Pody
shop.example.com/...     → Service "web" → web Pody
TLS je ukončeno na controlleru pomocí certifikátu v Secretu "shop-tls".
```

## Klíčové body

```text
• MUSÍTE provozovat Ingress Controller — samotný objekt Ingress nedělá nic.
• ingressClassName vybírá, který controller pravidla zpracuje.
• Ingress je jen HTTP/HTTPS (L7). Pro čisté TCP/UDP použijte Service nebo Gateway API.
• Novější Gateway API je vyvíjející se nástupce s bohatším, rolově orientovaným směrováním.
```

```bash
kubectl get ingress                  # vypíše pravidla, hosty, adresy
kubectl describe ingress app-ingress # zobrazí backendy a události
```

## Proč je to důležité

Ingress je standardní způsob, jak na Kubernetes vystavit HTTP/HTTPS aplikace do vnějšího světa, takže jeho pochopení je nezbytná síťová znalost pro inženýry na střední úrovni. Problém, který řeší, je konkrétní a běžný: vystavit mnoho služeb přes `type: LoadBalancer` znamená vytvořit samostatný cloudový load balancer a veřejnou IP na každou službu — drahé a bez sdíleného směrování podle hostname nebo TLS — zatímco **Ingress** vám dá jediný vstupní bod, který směruje podle **host a path** na interní ClusterIP Services a centrálně ukončuje **TLS**. Rozdíl, o který lidé zakopávají, je mezi **objektem Ingress** (deklarativní pravidla směrování) a **Ingress Controllerem** (skutečná běžící proxy — nginx, Traefik, cloudová gateway — která ta pravidla sleduje a vynucuje); pravidla samotná bez nainstalovaného controlleru nedělají nic a `ingressClassName` vybírá, který controller je zpracuje. Pochopení, že Ingress pracuje na **L7 (jen HTTP/HTTPS)** — takže čisté TCP/UDP potřebuje Service nebo novější Gateway API — a že **Gateway API** je vyvíjející se, výraznější nástupce, odráží aktuální znalost z praxe. Protože téměř každá aplikace na Kubernetes obrácená k uživateli potřebuje směrování podle host/path a TLS z jediného vstupního bodu a protože rozdíl objekt-vs-controller je častým zdrojem zmatku jak u pohovorů, tak v praxi, solidní pochopení Ingressu je základem pro vystavení a provoz webových workloadů na clusteru.

Problém, který Ingress řeší

Jak to do sebe zapadá

Manifest Ingressu

Klíčové body

Proč je to důležité

Související otázky