Ingress 是什么，它如何把外部流量路由到 Service？

Question

IT Interview Practice · Accepted Answer

**Ingress** 是一个 Kubernetes 对象，用于定义 **HTTP/HTTPS 路由规则**——把主机名和 URL 路径映射到后端 **Service**。它由一个 **Ingress Controller**（nginx、Traefik、云网关）来落实，为你提供单一入口、TLS termination 以及基于 host/path 的路由，而无需为每个服务配一个 LoadBalancer。

## Ingress 解决的问题

```text
用 type: LoadBalancer 暴露许多服务意味着许多云 LB（和公网 IP）
—— 昂贵，且没有共享的 hostname/path 路由或 TLS。
Ingress 提供一个入口，按 host 和 path 路由到内部 ClusterIP Service。
```

## 它如何组合到一起

```text
      Internet
         │
   ┌─────┴──────────────┐
   │ Ingress Controller │  (一个 Pod，例如 nginx；通常在一个 LoadBalancer 之后)
   │  读取 Ingress 规则 │
   └─────┬──────────────┘
         │ 按 host / path 路由
   ┌─────┼───────────────┬───────────────┐
   ▼                     ▼               ▼
 Service: web        Service: api    Service: admin  (全部 ClusterIP)
   │                     │               │
 Pods                  Pods            Pods

Ingress (规则)  ≠  Ingress Controller (执行规则的运行中 proxy)
```

## 一个 Ingress manifest

```yaml
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: app-ingress
  annotations:
    nginx.ingress.kubernetes.io/rewrite-target: /
spec:
  ingressClassName: nginx
  tls:
    - hosts: [shop.example.com]
      secretName: shop-tls        # TLS 证书/密钥存储在一个 Secret 中
  rules:
    - host: shop.example.com
      http:
        paths:
          - path: /api
            pathType: Prefix
            backend:
              service:
                name: api
                port: { number: 80 }
          - path: /
            pathType: Prefix
            backend:
              service:
                name: web
                port: { number: 80 }
```

```text
shop.example.com/api/... → Service "api" → api Pod
shop.example.com/...     → Service "web" → web Pod
TLS 在 controller 处用 "shop-tls" Secret 中的证书终止。
```

## 关键要点

```text
• 你必须运行一个 Ingress Controller —— 仅有 Ingress 对象什么也不做。
• ingressClassName 选择由哪个 controller 处理这些规则。
• Ingress 只针对 HTTP/HTTPS (L7)。裸 TCP/UDP 用 Service 或 Gateway API。
• 更新的 Gateway API 是不断演进的后继者，路由更丰富、面向角色。
```

```bash
kubectl get ingress                  # 列出规则、host、地址
kubectl describe ingress app-ingress # 查看后端与事件
```

## 为什么这很重要

Ingress 是在 Kubernetes 上把 HTTP/HTTPS 应用暴露给外部世界的标准方式，因此理解它是中级工程师必备的联网知识。它解决的问题具体而常见：通过 `type: LoadBalancer` 暴露许多服务意味着为每个服务分配一个单独的云 load balancer 和公网 IP——昂贵且没有共享的 hostname 路由或 TLS——而 **Ingress** 为你提供单一入口，按 **host 和 path** 路由到内部 ClusterIP Service，并集中终止 **TLS**。让人绊倒的区别是 **Ingress 对象**（声明式路由规则）与 **Ingress Controller**（实际运行的 proxy——nginx、Traefik、云网关——它监视这些规则并执行它们）之间的区别；没有安装 controller，这些规则什么也不做，而 `ingressClassName` 选择由哪个 controller 处理它们。理解 Ingress 工作在 **L7（仅 HTTP/HTTPS）**——因此裸 TCP/UDP 需要 Service 或更新的 Gateway API——以及 **Gateway API** 是不断演进、表达力更强的后继者，反映了当前、真实世界的知识。因为 Kubernetes 上几乎每个面向用户的应用都需要从单一入口做基于 host/path 的路由和 TLS，且因为对象与 controller 的区别在面试和实践中都是常见的困惑之源，牢固掌握 Ingress 是在集群上暴露和运维 web workload 的基础。

Ingress 解决的问题

它如何组合到一起

一个 Ingress manifest

关键要点

为什么这很重要

相关问题