Что такое Ingress и как он маршрутизирует внешний трафик на Service?

Question

IT Interview Practice · Accepted Answer

**Ingress** — это объект Kubernetes, который определяет **правила маршрутизации HTTP/HTTPS** — сопоставляя имена хостов и URL-пути с бэкенд-**Service**. Он реализуется **Ingress Controller** (nginx, Traefik, облачные шлюзы) и даёт вам одну точку входа, TLS-терминацию и маршрутизацию по host/path вместо отдельного LoadBalancer на каждый сервис.

## Проблема, которую решает Ingress

```text
Публикация многих сервисов через type: LoadBalancer означает МНОГО облачных LB (и публичных IP)
— дорого и без общей маршрутизации по hostname/path или TLS.
Ingress даёт ОДНУ точку входа, маршрутизирующую по host и path на внутренние Service типа ClusterIP.
```

## Как это складывается вместе

```text
      Internet
         │
   ┌─────┴──────────────┐
   │ Ingress Controller │  (Pod, например nginx; обычно за ОДНИМ LoadBalancer)
   │  читает правила Ingress│
   └─────┬──────────────┘
         │ маршрутизирует по host / path
   ┌─────┼───────────────┬───────────────┐
   ▼                     ▼               ▼
 Service: web        Service: api    Service: admin  (все ClusterIP)
   │                     │               │
 Pods                  Pods            Pods

Ingress (правила)  ≠  Ingress Controller (работающий proxy, который их применяет)
```

## Manifest Ingress

```yaml
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: app-ingress
  annotations:
    nginx.ingress.kubernetes.io/rewrite-target: /
spec:
  ingressClassName: nginx
  tls:
    - hosts: [shop.example.com]
      secretName: shop-tls        # TLS сертификат/ключ хранятся в Secret
  rules:
    - host: shop.example.com
      http:
        paths:
          - path: /api
            pathType: Prefix
            backend:
              service:
                name: api
                port: { number: 80 }
          - path: /
            pathType: Prefix
            backend:
              service:
                name: web
                port: { number: 80 }
```

```text
shop.example.com/api/... → Service "api" → api Pods
shop.example.com/...     → Service "web" → web Pods
TLS терминируется на контроллере с помощью сертификата из Secret "shop-tls".
```

## Ключевые моменты

```text
• Вы ДОЛЖНЫ запустить Ingress Controller — сам по себе объект Ingress ничего не делает.
• ingressClassName выбирает, какой контроллер обрабатывает правила.
• Ingress — это только HTTP/HTTPS (L7). Для сырого TCP/UDP используйте Service или Gateway API.
• Новый Gateway API — развивающийся преемник с более богатой, ролевой маршрутизацией.
```

```bash
kubectl get ingress                  # список правил, хостов, адресов
kubectl describe ingress app-ingress # посмотреть бэкенды и события
```

## Почему это важно

Ingress — стандартный способ публиковать HTTP/HTTPS-приложения во внешний мир на Kubernetes, поэтому понимание его — существенное сетевое знание для инженеров уровня middle. Проблема, которую он решает, конкретна и распространена: публикация многих сервисов через `type: LoadBalancer` означает выделение отдельного облачного load balancer и публичного IP на каждый сервис — дорого и без общей маршрутизации по hostname или TLS, — тогда как **Ingress** даёт единую точку входа, маршрутизирующую по **host и path** на внутренние Service типа ClusterIP и терминирующую **TLS** централизованно. Различие, на котором спотыкаются люди, — между **объектом Ingress** (декларативные правила маршрутизации) и **Ingress Controller** (реальный работающий proxy — nginx, Traefik, облачный шлюз, — который следит за этими правилами и применяет их); правила ничего не делают без установленного контроллера, а `ingressClassName` выбирает, какой контроллер их обрабатывает. Понимание того, что Ingress работает на **L7 (только HTTP/HTTPS)** — так что сырому TCP/UDP нужен Service или новый Gateway API, — и что **Gateway API** — это развивающийся, более выразительный преемник, отражает актуальное, реальное знание. Поскольку почти каждому пользовательскому приложению на Kubernetes нужна маршрутизация по host/path и TLS из единой точки входа, и поскольку различие объект-vs-контроллер — частый источник путаницы и на собеседованиях, и на практике, твёрдое понимание Ingress фундаментально для публикации и эксплуатации веб-нагрузок в кластере.

Проблема, которую решает Ingress

Как это складывается вместе

Manifest Ingress

Ключевые моменты

Почему это важно

Похожие вопросы