k8s的ingress到底是什么

K8s的Ingress是一种用于管理集群外部访问到Kubernetes服务的API对象。它提供了HTTP和HTTPS路由、负载均衡、SSL终止等功能。通过Ingress，用户可以将外部请求根据定义的规则路由到集群内部的服务，从而简化了外部访问和流量管理。HTTP和HTTPS路由是Ingress最常用的功能之一，通过定义规则，可以将不同的URL路径或域名映射到不同的服务。这不仅提高了服务的可用性，还使得集群的管理更加灵活。

一、HTTP和HTTPS路由

K8s的Ingress最核心的功能之一就是提供HTTP和HTTPS路由，这种路由机制使得用户可以根据定义的规则，将外部请求路由到集群内部的不同服务。通过这种方式，用户可以灵活地管理和控制流量。例如，你可以根据URL路径或域名来定义路由规则，将/api路径的请求路由到后端的API服务，而将/web路径的请求路由到前端的Web服务。这种精细的控制不仅提高了服务的可用性，还简化了应用的部署和管理。

在实际操作中，定义HTTP和HTTPS路由需要创建一个Ingress资源对象，并在其中定义所需的路由规则。下面是一个简单的示例：

apiVersion: networking.k8s.io/v1 kind: Ingress metadata: name: example-ingress spec: rules: - host: example.com http: paths: - path: /api pathType: Prefix backend: service: name: api-service port: number: 80 - path: /web pathType: Prefix backend: service: name: web-service port: number: 80

在这个例子中，所有访问example.com/api的请求都会被路由到名为api-service的后端服务，而访问example.com/web的请求则会被路由到名为web-service的后端服务。

二、负载均衡

负载均衡是K8s Ingress的另一个重要功能。通过负载均衡，Ingress可以将外部请求均匀地分配到多个后端服务实例，从而提高应用的可用性和可靠性。在Kubernetes集群中，负载均衡主要有两种形式：内部负载均衡和外部负载均衡。

内部负载均衡通常是通过Service资源实现的，而外部负载均衡则可以通过Ingress控制器来实现。Ingress控制器是一个负责实现Ingress资源定义的具体行为的组件，它可以是基于云服务的负载均衡器，也可以是基于开源软件的负载均衡器，如NGINX、HAProxy等。

负载均衡的核心在于它能够将流量均匀分配到多个后端实例，从而防止单点故障，提高服务的可用性。例如，如果你有一个运行着多个实例的Web服务，你可以通过Ingress来定义一个负载均衡规则，将所有的外部请求均匀地分配到这些实例上。

apiVersion: networking.k8s.io/v1 kind: Ingress metadata: name: web-ingress spec: rules: - host: web.example.com http: paths: - path: / pathType: Prefix backend: service: name: web-service port: number: 80

在这个例子中，所有访问web.example.com的请求都会被路由到web-service服务，而web-service服务内部会通过负载均衡将请求分配到多个实例上。

三、SSL终止

SSL终止是K8s Ingress提供的另一个关键功能。通过SSL终止，Ingress可以管理和终止SSL/TLS连接，从而简化集群内部的安全管理。在实际应用中，SSL终止主要用于保护敏感数据的传输，确保数据在传输过程中不会被窃取或篡改。

在Kubernetes中，实现SSL终止需要配置一个TLS秘密（Secret），该秘密包含了SSL证书和私钥。然后，你可以在Ingress资源中引用这个TLS秘密，从而实现SSL终止。

apiVersion: networking.k8s.io/v1 kind: Ingress metadata: name: secure-ingress spec: tls: - hosts: - secure.example.com secretName: tls-secret rules: - host: secure.example.com http: paths: - path: / pathType: Prefix backend: service: name: secure-service port: number: 443

在这个例子中，所有访问secure.example.com的请求都会被路由到secure-service服务，同时Ingress会使用tls-secret中的SSL证书和私钥来终止SSL连接。

四、Ingress控制器

Ingress控制器是实现Ingress资源定义的具体行为的组件。不同的Ingress控制器有不同的功能和特性，用户可以根据实际需求选择合适的Ingress控制器。目前，常见的Ingress控制器包括NGINX Ingress Controller、HAProxy Ingress Controller、Traefik等。

NGINX Ingress Controller是最常用的Ingress控制器之一，它具有高性能、易于配置和扩展等特点。通过NGINX Ingress Controller，用户可以实现复杂的路由规则、负载均衡、SSL终止等功能。

HAProxy Ingress Controller则以其高可用性和灵活性著称，适用于需要高性能和高可用性的应用场景。Traefik则是一款现代化的反向代理和负载均衡器，具有自动发现服务、动态配置等特点，非常适合微服务架构。

选择合适的Ingress控制器可以显著提高集群的性能和可用性，同时简化集群的管理和维护。

五、Ingress与Service的关系

在Kubernetes中，Ingress和Service是两个紧密相关的概念。Service主要用于内部服务发现和负载均衡，而Ingress则用于管理外部访问到内部服务。通过结合使用Ingress和Service，用户可以实现复杂的流量管理和路由规则。

Service通常通过ClusterIP、NodePort或LoadBalancer类型来暴露内部服务，而Ingress则通过定义路由规则，将外部请求路由到相应的Service。通过这种方式，用户可以实现复杂的流量管理和负载均衡，从而提高应用的可用性和可靠性。

例如，下面是一个结合使用Ingress和Service的示例：

apiVersion: v1 kind: Service metadata: name: web-service spec: selector: app: web ports: - protocol: TCP port: 80 targetPort: 8080 type: ClusterIP --- apiVersion: networking.k8s.io/v1 kind: Ingress metadata: name: web-ingress spec: rules: - host: web.example.com http: paths: - path: / pathType: Prefix backend: service: name: web-service port: number: 80

在这个例子中，web-service通过ClusterIP类型暴露内部服务，而web-ingress则通过定义路由规则，将访问web.example.com的请求路由到web-service服务。

六、Ingress的高级功能

除了基本的路由、负载均衡和SSL终止功能外，Ingress还提供了一些高级功能，如重定向、重写、身份验证、限流等。这些功能可以帮助用户实现更复杂的流量管理和安全策略。

重定向和重写是Ingress的两个常见高级功能。通过重定向，用户可以将某个URL重定向到另一个URL，从而实现灵活的流量管理。例如，你可以将所有的HTTP请求重定向到HTTPS，以确保数据传输的安全性。重写则允许用户修改请求的URL路径，从而实现更复杂的路由规则。

身份验证是另一个重要的高级功能。通过身份验证，Ingress可以确保只有经过身份验证的用户才能访问内部服务，从而提高应用的安全性。常见的身份验证方法包括基本身份验证、OAuth、JWT等。

限流则用于控制外部请求的速率，从而防止过载攻击和资源滥用。通过限流，用户可以定义每秒允许的最大请求数，从而保护内部服务的稳定性和可用性。

七、Ingress的配置和管理

配置和管理Ingress是一个复杂的过程，需要用户具备一定的Kubernetes知识和经验。一般来说，配置Ingress需要以下几个步骤：

选择合适的Ingress控制器：根据实际需求和应用场景，选择一个合适的Ingress控制器，如NGINX Ingress Controller、HAProxy Ingress Controller、Traefik等。
部署Ingress控制器：在Kubernetes集群中部署选择的Ingress控制器。不同的Ingress控制器有不同的部署方法，用户可以参考官方文档进行部署。
创建TLS秘密：如果需要实现SSL终止，用户需要创建一个包含SSL证书和私钥的TLS秘密，并在Ingress资源中引用该秘密。
定义Ingress资源：根据实际需求，创建一个或多个Ingress资源，并在其中定义路由规则、负载均衡策略、SSL终止配置等。
测试和验证：完成配置后，用户需要对Ingress进行测试和验证，确保其能够正常工作，并满足预期的功能需求。

以下是一个完整的Ingress配置示例：

apiVersion: v1 kind: Secret metadata: name: tls-secret data: tls.crt: <base64-encoded-cert> tls.key: <base64-encoded-key> type: kubernetes.io/tls --- apiVersion: v1 kind: Service metadata: name: web-service spec: selector: app: web ports: - protocol: TCP port: 80 targetPort: 8080 type: ClusterIP --- apiVersion: networking.k8s.io/v1 kind: Ingress metadata: name: web-ingress spec: tls: - hosts: - web.example.com secretName: tls-secret rules: - host: web.example.com http: paths: - path: / pathType: Prefix backend: service: name: web-service port: number: 80

在这个示例中，首先创建了一个包含SSL证书和私钥的TLS秘密，然后定义了一个ClusterIP类型的Service，最后创建了一个Ingress资源，通过TLS秘密实现SSL终止，并将访问web.example.com的请求路由到web-service服务。