Ingress là gì và nó định tuyến lưu lượng bên ngoài tới các Service ra sao?

Question

IT Interview Practice · Accepted Answer

**Ingress** là một object Kubernetes định nghĩa các **quy tắc định tuyến HTTP/HTTPS** — ánh xạ hostname và đường dẫn URL tới các **Service** backend. Nó được hiện thực bởi một **Ingress Controller** (nginx, Traefik, gateway của cloud) và cho bạn một điểm vào duy nhất, kết thúc TLS, và định tuyến theo host/path thay vì mỗi service một LoadBalancer.

## Vấn đề Ingress giải quyết

```text
Lộ nhiều service bằng type: LoadBalancer nghĩa là NHIỀU LB cloud (và IP công khai)
— tốn kém, và không có định tuyến host/path chung hay TLS.
Ingress cho MỘT điểm vào định tuyến theo host & path tới các Service ClusterIP nội bộ.
```

## Cách các mảnh ghép với nhau

```text
      Internet
         │
   ┌─────┴──────────────┐
   │ Ingress Controller │  (một Pod, ví dụ nginx; thường sau MỘT LoadBalancer)
   │  đọc các quy tắc Ingress│
   └─────┬──────────────┘
         │ định tuyến theo host / path
   ┌─────┼───────────────┬───────────────┐
   ▼                     ▼               ▼
 Service: web        Service: api    Service: admin  (đều ClusterIP)
   │                     │               │
 Pod                   Pod             Pod

Ingress (quy tắc)  ≠  Ingress Controller (proxy đang chạy để thực thi chúng)
```

## Một manifest Ingress

```yaml
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: app-ingress
  annotations:
    nginx.ingress.kubernetes.io/rewrite-target: /
spec:
  ingressClassName: nginx
  tls:
    - hosts: [shop.example.com]
      secretName: shop-tls        # cert/key TLS lưu trong một Secret
  rules:
    - host: shop.example.com
      http:
        paths:
          - path: /api
            pathType: Prefix
            backend:
              service:
                name: api
                port: { number: 80 }
          - path: /
            pathType: Prefix
            backend:
              service:
                name: web
                port: { number: 80 }
```

```text
shop.example.com/api/... → Service "api" → các Pod api
shop.example.com/...     → Service "web" → các Pod web
TLS được kết thúc tại controller dùng cert trong Secret "shop-tls".
```

## Điểm mấu chốt

```text
• Bạn PHẢI chạy một Ingress Controller — object Ingress một mình không làm gì cả.
• ingressClassName chọn controller nào xử lý các quy tắc.
• Ingress chỉ dành cho HTTP/HTTPS (L7). Với TCP/UDP thô dùng Service hoặc Gateway API.
• Gateway API mới hơn là hậu duệ đang tiến hóa với định tuyến phong phú, theo vai trò hơn.
```

```bash
kubectl get ingress                  # liệt kê quy tắc, host, địa chỉ
kubectl describe ingress app-ingress # xem backend & sự kiện
```

## Tại sao điều này quan trọng

Ingress là cách tiêu chuẩn để lộ các ứng dụng HTTP/HTTPS ra thế giới bên ngoài trên Kubernetes, nên hiểu nó là kiến thức networking thiết yếu cho kỹ sư trung cấp. Vấn đề nó giải quyết vừa cụ thể vừa phổ biến: lộ nhiều service qua `type: LoadBalancer` nghĩa là cấp phát một load balancer cloud và IP công khai riêng cho mỗi service — tốn kém và không có định tuyến hostname chung hay TLS — trong khi một **Ingress** cho bạn một điểm vào duy nhất định tuyến theo **host và path** tới các Service ClusterIP nội bộ và kết thúc **TLS** tập trung. Sự phân biệt khiến người ta vấp là giữa **object Ingress** (quy tắc định tuyến khai báo) và **Ingress Controller** (proxy đang chạy thật sự — nginx, Traefik, gateway cloud — theo dõi các quy tắc đó và thực thi chúng); các quy tắc chẳng làm gì nếu chưa cài controller, và `ingressClassName` chọn controller nào xử lý chúng. Hiểu rằng Ingress hoạt động ở **L7 (chỉ HTTP/HTTPS)** — nên TCP/UDP thô cần một Service hoặc Gateway API mới hơn — và rằng **Gateway API** là hậu duệ đang tiến hóa, biểu đạt hơn, phản ánh kiến thức cập nhật, sát thực tế. Vì gần như mọi ứng dụng hướng người dùng trên Kubernetes đều cần định tuyến theo host/path và TLS từ một điểm vào duy nhất, và vì sự phân biệt object-với-controller là nguồn nhầm lẫn thường gặp cả trong phỏng vấn lẫn thực tế, nắm vững Ingress là điều nền tảng để lộ và vận hành các workload web trên cluster.

Vấn đề Ingress giải quyết

Cách các mảnh ghép với nhau

Một manifest Ingress

Điểm mấu chốt

Tại sao điều này quan trọng

Câu hỏi liên quan