Kubernetes Ingress-Nginx 常见问题深度解析

Kubernetes Ingress-Nginx 常见问题深度解析

ingress-nginx Ingress-NGINX Controller for Kubernetes 项目地址: https://gitcode.com/gh_mirrors/in/ingress-nginx

前言

作为 Kubernetes 生态中最流行的 Ingress Controller 之一，Ingress-Nginx 在实际使用中会遇到各种问题。本文将从技术专家角度，对常见问题进行系统梳理和深度解析，帮助开发者更好地理解和使用 Ingress-Nginx。

多租户环境安全性考量

问题背景：Ingress-Nginx 在设计上假设能够创建 Ingress 对象的用户都是集群管理员，因此在多租户 Kubernetes 生产环境中使用时需要特别注意安全性。

关键风险点：

1. 全局配置选项（如 snippets）允许任何 Ingress 对象运行任意 Lua 代码，可能影响控制器运行的所有 Ingress 对象
2. 默认情况下 snippets 功能已禁用，这是出于安全考虑的重要变更

专家建议：

• 生产环境中应严格限制 snippets 功能的使用
• 多租户环境下建议使用专门的 Ingress Controller 解决方案
• 实施严格的 RBAC 策略控制 Ingress 对象的创建权限

集群内多控制器部署方案

标准部署方式

核心思路：通过命名空间隔离实现多控制器实例共存

操作步骤：

1. 创建独立命名空间

   kubectl create namespace ingress-nginx-2
   

2. 使用 Helm 安装额外实例，关键配置包括：
   • 指定新命名空间
   • 设置唯一的 IngressClass 名称
   • 配置唯一的控制器标识

示例命令：

helm install ingress-nginx-2 ingress-nginx/ingress-nginx \
--namespace ingress-nginx-2 \
--set controller.ingressClassResource.name=nginx-two \
--set controller.ingressClass=nginx-two \
--set controller.ingressClassResource.controllerValue="example.com/ingress-nginx-2" \
--set controller.ingressClassResource.enabled=true \
--set controller.ingressClassByName=true

同命名空间部署方案

特殊场景：当必须将所有实例部署在同一命名空间时

解决方案：

• 为每个实例配置不同的选举 ID
• 其他配置与标准部署类似

关键配置项：

--set controller.electionID=nginx-two-leader

客户端真实 IP 获取方案

生产环境标准方案

推荐方案：启用 PROXY 协议

实现要点：

1. 需要在 Ingress-Nginx 控制器和前置的 L4 负载均衡器上同时启用
2. PROXY 协议能保留连接详细信息，避免真实客户端 IP 丢失

配置层级：

• 控制器端：通过 ConfigMap 配置
• 负载均衡器端：根据基础设施提供商文档配置

开发测试环境方案

模拟方案：

1. 使用 kind 或 minikube 创建单节点集群
2. 安装 MetalLB 并配置 IP 池
3. 修改服务配置：

   spec:
     externalTrafficPolicy: Local
   

技术原理：

• externalTrafficPolicy: Local 确保节点只将流量路由到本地端点
• 避免客户端源 IP 被伪装（masquerading）

L7 层解决方案

技术方案：通过 X-Forwarded-For HTTP 头获取

实现步骤：

1. 确保 X-Forwarded-For 头能到达后端 Pod
2. 在应用 Pod 的 Nginx 配置中添加：

   set_real_ip_from 0.0.0.0/0;
   real_ip_header X-Forwarded-For;
   real_ip_recursive on;
   

Kubernetes 1.22+ 迁移注意事项

重大变更：Ingress API 版本升级

迁移要点：

1. 检查现有 Ingress 资源使用的 API 版本
2. 提前规划迁移路径
3. 注意新版 API 的验证规则变化

路径验证机制解析

安全增强：v1.8.0 引入的路径验证功能

验证规则：

• 当 pathType 为 Exact 或 Prefix 时：
  • 只允许字母数字字符及 /, _, -
  • 路径必须以 / 开头
• 当路径包含其他字符时：
  • 必须使用 ImplementationSpecific 类型

实施建议：

1. 使用 Open Policy Agent 建立验证规则
2. 严格控制 ImplementationSpecific 类型的使用权限
3. 提前测试现有 Ingress 资源是否符合新验证规则

分块传输编码问题排查

问题现象：控制器 v1.10 后分块传输不工作

根本原因：Nginx 核心变更导致重复头部错误

解决方案：

1. 检查应用代码中的 Transfer-Encoding 头设置
2. 考虑替代的数据传输方式
3. 监控控制器日志中的相关错误信息

结语

掌握这些常见问题的解决方案，能够帮助您更高效地使用 Ingress-Nginx 控制器。建议在实际部署前充分测试，并根据具体环境调整配置方案。对于生产环境，特别要注意安全性和高可用性方面的配置。

ingress-nginx Ingress-NGINX Controller for Kubernetes 项目地址: https://gitcode.com/gh_mirrors/in/ingress-nginx