从Service到Ingress：手把手教你为K8s应用配置Nginx反向代理与域名访问

从Service到IngressKubernetes网络暴露实战指南在Kubernetes集群中部署Web应用后如何安全高效地对外提供服务是每个开发者必须掌握的技能。本文将带你从零开始逐步实现从ClusterIP内部服务到Nginx Ingress域名访问的完整链路涵盖NodePort、Service反向代理与Ingress三种方案的对比与实践。1. Kubernetes网络基础架构解析1.1 Pod网络通信原理Kubernetes网络模型要求每个Pod都拥有唯一的IP地址这个IP在集群内可直接路由。理解这一底层机制对后续服务暴露至关重要同Pod内容器通信共享网络命名空间通过localhost直接访问同节点Pod间通信通过CNI插件创建的虚拟网桥如cni0实现二层互通跨节点Pod通信依赖Overlay网络如Flannel的VXLAN隧道或Underlay方案# 查看节点网络接口Flannel示例 ip addr show flannel.11.2 Service抽象层工作原理Service作为Kubernetes的核心抽象解决了Pod动态IP带来的连接问题类型访问范围典型用途ClusterIP集群内部服务间通信NodePort节点IP端口开发测试环境LoadBalancer外部负载均衡器云环境生产部署服务发现流程客户端查询DNS获取Service ClusterIPkube-proxy通过iptables/ipvs规则将请求转发到后端Pod负载均衡算法默认轮询选择目标Pod提示生产环境建议使用ipvs代理模式相比iptables有更好的性能表现2. 基础服务暴露方案对比2.1 NodePort直连方案最简单的服务暴露方式适合快速验证场景apiVersion: v1 kind: Service metadata: name: web-nodeport spec: type: NodePort ports: - port: 80 targetPort: 80 nodePort: 30080 selector: app: nginx优缺点分析✅ 快速验证无需额外组件分钟级暴露服务❌ 端口管理需手动管理30000-32767端口范围❌ 缺乏灵活性无法实现基于域名的路由2.2 Nginx反向代理方案在NodePort基础上增加Nginx层实现更灵活的7层路由# nginx.conf片段 server { listen 80; server_name app.example.com; location / { proxy_pass http://web-nodeport.default.svc.cluster.local; proxy_set_header Host $host; } }性能实测数据ab测试100并发方案RPS平均延迟99%延迟直接NodePort125678ms210msNginx代理892112ms320ms注意Nginx代理会增加约30%的延迟但提供了URL路由等高级功能3. Ingress高级路由方案3.1 Ingress Controller部署以Nginx Ingress Controller为例的部署步骤安装Helm包管理器添加Ingress-nginx仓库定制化安装Controllerhelm upgrade --install ingress-nginx ingress-nginx \ --repo https://kubernetes.github.io/ingress-nginx \ --namespace ingress-nginx --create-namespace \ --set controller.service.typeLoadBalancer3.2 Ingress资源定义实现基于域名的HTTP路由和TLS终止apiVersion: networking.k8s.io/v1 kind: Ingress metadata: name: web-ingress annotations: nginx.ingress.kubernetes.io/rewrite-target: / spec: tls: - hosts: - app.example.com secretName: example-tls rules: - host: app.example.com http: paths: - path: / pathType: Prefix backend: service: name: web-service port: number: 80关键注解说明nginx.ingress.kubernetes.io/affinity启用会话保持nginx.ingress.kubernetes.io/limit-rps限流配置nginx.ingress.kubernetes.io/proxy-body-size调整上传大小限制4. 生产环境最佳实践4.1 性能优化方案连接池配置在Ingress Controller的ConfigMap中data: keep-alive: 75 keep-alive-requests: 100 upstream-keepalive-connections: 1000内核参数调优# 增加连接跟踪表大小 sysctl -w net.netfilter.nf_conntrack_max1310724.2 安全加固措施TLS配置使用cert-manager自动管理证书启用HSTS和TLS 1.3访问控制annotations: nginx.ingress.kubernetes.io/whitelist-source-range: 192.168.0.0/24防护配置限制Body大小启用WAF模块配置速率限制4.3 监控与日志Prometheus监控指标nginx_ingress_controller_requests请求量统计nginx_ingress_controller_request_duration_seconds延迟分布日志收集方案# Fluentd配置示例 match nginx.** type elasticsearch host elasticsearch port 9200 logstash_format true /match5. 方案选型决策树根据实际场景选择最适合的暴露方案开发测试环境直接使用NodePort或Minikube的minikube tunnel预发布环境Nginx反向代理基础路由手动管理的Ingress生产环境Ingress Controller自动证书管理云厂商LoadBalancer集成多集群流量分发典型迁移路径 开发环境 → NodePort → 测试环境 → Nginx代理 → 生产环境 → IngressCDN