Kas yra Ingress ir kaip jis maršrutizuoja išorinį srautą į Service'us?

Question

IT Interview Practice · Accepted Answer

**Ingress** yra Kubernetes objektas, apibrėžiantis **HTTP/HTTPS maršrutizavimo taisykles** — susiejantis host'us ir URL kelius su backend **Service'ais**. Jį įgyvendina **Ingress Controller** (nginx, Traefik, cloud gateway'ai) ir suteikia vieną įėjimo tašką, TLS terminavimą bei host/path maršrutizavimą vietoj po LoadBalancer kiekvienam service'ui.

## Problema, kurią sprendžia Ingress

```text
Daugelio service'ų atvėrimas su type: LoadBalancer reiškia DAUG cloud LB (ir viešų IP)
— brangu, ir jokio bendro host/path maršrutizavimo ar TLS.
Ingress duoda VIENĄ įėjimo tašką, maršrutizuojantį pagal host ir path į vidinius ClusterIP Service'us.
```

## Kaip viskas dera

```text
      Internet
         │
   ┌─────┴──────────────┐
   │ Ingress Controller │  (Pod'as, pvz. nginx; paprastai už VIENO LoadBalancer)
   │  skaito Ingress taisykles│
   └─────┬──────────────┘
         │ maršrutizuoja pagal host / path
   ┌─────┼───────────────┬───────────────┐
   ▼                     ▼               ▼
 Service: web        Service: api    Service: admin  (visi ClusterIP)
   │                     │               │
 Pod'ai                Pod'ai          Pod'ai

Ingress (taisyklės)  ≠  Ingress Controller (veikiantis proxy, jas įgyvendinantis)
```

## Ingress manifest'as

```yaml
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: app-ingress
  annotations:
    nginx.ingress.kubernetes.io/rewrite-target: /
spec:
  ingressClassName: nginx
  tls:
    - hosts: [shop.example.com]
      secretName: shop-tls        # TLS cert/raktas laikomas Secret'e
  rules:
    - host: shop.example.com
      http:
        paths:
          - path: /api
            pathType: Prefix
            backend:
              service:
                name: api
                port: { number: 80 }
          - path: /
            pathType: Prefix
            backend:
              service:
                name: web
                port: { number: 80 }
```

```text
shop.example.com/api/... → Service "api" → api Pod'ai
shop.example.com/...     → Service "web" → web Pod'ai
TLS terminuojamas controller'yje naudojant cert iš "shop-tls" Secret'o.
```

## Pagrindiniai dalykai

```text
• PRIVALOTE paleisti Ingress Controller — vien Ingress objektas nieko nedaro.
• ingressClassName parenka, kuris controller'is tvarko taisykles.
• Ingress yra tik HTTP/HTTPS (L7). Grynam TCP/UDP naudokite Service arba Gateway API.
• Naujesnis Gateway API yra besivystantis įpėdinis su turtingesniu, rolėmis grįstu maršrutizavimu.
```

```bash
kubectl get ingress                  # išvardyti taisykles, host'us, adresus
kubectl describe ingress app-ingress # matyti backend'us ir įvykius
```

## Kodėl tai svarbu

Ingress yra standartinis būdas atverti HTTP/HTTPS aplikacijas išoriniam pasauliui Kubernetes'e, tad jį suprasti yra esminė tinklo žinia middle-lygio inžinieriams. Jo sprendžiama problema yra konkreti ir dažna: daugelio service'ų atvėrimas per `type: LoadBalancer` reiškia atskirą cloud load balancer'į ir viešą IP kiekvienam service'ui — brangu ir be bendro host maršrutizavimo ar TLS — o **Ingress** suteikia vieną įėjimo tašką, maršrutizuojantį pagal **host ir path** į vidinius ClusterIP Service'us ir centralizuotai terminuojantį **TLS**. Skirtumas, ant kurio žmonės užkliūva, yra tarp **Ingress objekto** (deklaratyvios maršrutizavimo taisyklės) ir **Ingress Controller'io** (faktinis veikiantis proxy — nginx, Traefik, cloud gateway — kuris stebi tas taisykles ir jas įgyvendina); taisyklės nieko nedaro be įdiegto controller'io, o `ingressClassName` parenka, kuris controller'is jas tvarko. Supratimas, kad Ingress veikia **L7 (tik HTTP/HTTPS)** — tad grynam TCP/UDP reikia Service ar naujesnio Gateway API — ir kad **Gateway API** yra besivystantis, išraiškingesnis įpėdinis, atspindi dabartines, realias žinias. Kadangi beveik kiekvienai į naudotoją nukreiptai aplikacijai Kubernetes'e reikia host/path maršrutizavimo ir TLS iš vieno įėjimo taško, o objekto-vs-controller skirtumas yra dažnas painiavos šaltinis tiek pokalbiuose, tiek praktikoje, tvirtas Ingress suvokimas yra pamatinis web workload'ams klasteryje atverti ir eksploatuoti.

Problema, kurią sprendžia Ingress

Kaip viskas dera

Ingress manifest'as

Pagrindiniai dalykai

Kodėl tai svarbu

Susiję klausimai