Kubernetes Ingress-Nginx 暴露 TCP/UDP 服务完全指南

Kubernetes Ingress-Nginx 暴露 TCP/UDP 服务完全指南

ingress-nginx Ingress-NGINX Controller for Kubernetes 项目地址: https://gitcode.com/gh_mirrors/in/ingress-nginx

前言

在 Kubernetes 中，Ingress 资源通常用于管理 HTTP/HTTPS 流量的路由。然而，在实际生产环境中，我们经常需要暴露非 HTTP 协议的服务，如数据库、DNS 等 TCP/UDP 服务。本文将详细介绍如何使用 ingress-nginx 控制器来暴露 TCP 和 UDP 服务。

核心概念

为什么需要暴露 TCP/UDP 服务

虽然 Kubernetes Ingress 资源原生只支持 HTTP/HTTPS 流量路由，但 ingress-nginx 通过扩展功能支持了 TCP/UDP 协议的流量转发。这使得我们可以在不额外部署其他负载均衡器的情况下，直接通过 ingress-nginx 暴露各种非 HTTP 服务。

工作原理

ingress-nginx 通过两个特殊的 ConfigMap 来实现 TCP/UDP 服务的暴露：

• tcp-services-configmap：用于 TCP 服务
• udp-services-configmap：用于 UDP 服务

这些 ConfigMap 定义了外部端口到内部服务的映射关系。

配置 TCP 服务

基本配置示例

以下是一个暴露 TCP 服务的 ConfigMap 示例，它将外部 9000 端口映射到 default 命名空间下 example-go 服务的 8080 端口：

apiVersion: v1
kind: ConfigMap
metadata:
  name: tcp-services
  namespace: ingress-nginx
data:
  9000: "default/example-go:8080"

配置说明

映射格式为： <外部端口>:<命名空间/服务名称>:<服务端口/名称>:[PROXY]:[PROXY]

其中：

• 外部端口：客户端连接时使用的端口
• 命名空间/服务名称：目标服务的完整路径
• 服务端口/名称：可以使用端口号或端口名称
• PROXY 标记（可选）：用于控制 Proxy Protocol 的编解码

配置 UDP 服务

基本配置示例

以下是一个暴露 UDP 服务的 ConfigMap 示例，它将外部 53 端口映射到 kube-system 命名空间下 kube-dns 服务的 53 端口：

apiVersion: v1
kind: ConfigMap
metadata:
  name: udp-services
  namespace: ingress-nginx
data:
  53: "kube-system/kube-dns:53"

Proxy Protocol 支持

ingress-nginx 支持 Proxy Protocol，这是一种在 TCP 连接开始时传递客户端信息的协议。配置方法是在映射末尾添加 PROXY 标记：

• 第一个 PROXY：控制代理协议的解码（接收）
• 第二个 PROXY：控制代理协议的编码（发送）

示例：

9000: "default/example-go:8080:PROXY:PROXY"

这种配置可以实现：

1. 解码传入连接的代理协议
2. 编码传出连接的代理协议
3. 在两个不同代理之间进行仲裁

服务配置

要使 TCP/UDP 代理生效，必须在 ingress-nginx 的 Service 中暴露相应的端口：

apiVersion: v1
kind: Service
metadata:
  name: ingress-nginx
  namespace: ingress-nginx
spec:
  type: LoadBalancer
  ports:
    - name: http
      port: 80
      protocol: TCP
    - name: https
      port: 443
      protocol: TCP
    - name: proxied-tcp-9000
      port: 9000
      protocol: TCP
  selector:
    app.kubernetes.io/name: ingress-nginx

部署配置

最后，需要在 ingress-nginx 控制器的部署参数中添加对 ConfigMap 的引用：

args:
  - /nginx-ingress-controller
  - --tcp-services-configmap=ingress-nginx/tcp-services
  - --udp-services-configmap=ingress-nginx/udp-services

最佳实践

1. 端口规划：为 TCP/UDP 服务预留专用端口范围，避免与 HTTP/HTTPS 端口冲突
2. 命名规范：为每个暴露的端口使用有意义的名称，便于维护
3. 安全考虑：仅暴露必要的端口，并使用网络策略限制访问
4. 性能监控：为 TCP/UDP 服务设置适当的监控和告警

常见问题

1. 端口冲突：确保要暴露的端口没有被其他服务占用
2. 协议不匹配：确认客户端使用的协议（TCP/UDP）与服务配置一致
3. 命名空间问题：确保 ConfigMap 创建在 ingress-nginx 控制器所在的命名空间
4. 服务发现：确保目标服务存在且运行正常

总结

通过 ingress-nginx 暴露 TCP/UDP 服务是一种高效且统一的方式，可以减少集群中负载均衡器的数量，简化网络架构。合理配置后，可以满足大多数非 HTTP 服务的暴露需求，同时保持与 HTTP 服务相同的管理界面和监控能力。

希望本文能帮助你更好地理解和使用 ingress-nginx 的 TCP/UDP 服务暴露功能。如有任何疑问，可以参考官方文档或社区讨论。

ingress-nginx Ingress-NGINX Controller for Kubernetes 项目地址: https://gitcode.com/gh_mirrors/in/ingress-nginx