1. 为什么需要统一管理微服务入口

在微服务架构中，随着服务数量的增加，入口管理会变得越来越复杂。想象一下，一个中等规模的应用可能有20-30个微服务，每个服务都需要独立的访问入口。传统做法是为每个服务配置独立的域名或路径，这不仅增加了运维负担，还带来了诸多问题：

• 每个服务需要单独配置SSL证书
• 跨服务的一致性策略（如认证、限流）难以统一实施
• 客户端需要维护多个服务端点信息
• 服务版本升级时，路由变更需要协调多个团队

我在实际项目中就遇到过这样的困境：一个电商平台有商品、订单、支付等15个微服务，每个团队都使用不同的路由规则，导致前端调用时经常出现404错误。更糟的是，当我们需要实施全站级的WAF防护时，不得不在15个地方重复配置相同的规则。

2. Ingress的核心能力解析

2.1 路由规则引擎

Ingress的核心是一个强大的路由规则引擎。它通过声明式的配置，可以将不同的HTTP请求路由到对应的后端服务。例如：

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: unified-ingress
spec:
  rules:
  - host: api.example.com
    http:
      paths:
      - path: /products
        pathType: Prefix
        backend:
          service:
            name: product-service
            port:
              number: 80
      - path: /orders
        pathType: Prefix
        backend:
          service:
            name: order-service
            port:
              number: 80

这个配置实现了：

• 访问api.example.com/products 的请求会被路由到product-service
• 访问api.example.com/orders 的请求会被路由到order-service

2.2 负载均衡机制

Ingress控制器内置了负载均衡能力。以Nginx Ingress为例，它会自动将流量均匀分配到后端服务的所有Pod。当服务扩容时，Ingress会自动发现新的Pod并加入负载均衡池。

提示：生产环境中建议配置健康检查，避免将流量路由到不健康的Pod。可以在annotations中添加： nginx.ingress.kubernetes.io/health-check-path: /healthz

2.3 TLS终止

Ingress支持在边缘节点终止TLS连接，这意味着后端服务可以使用普通HTTP协议，简化了服务间的通信。配置示例：

spec:
  tls:
  - hosts:
    - api.example.com
    secretName: example-tls

3. 实战：构建统一入口架构

3.1 环境准备

假设我们有以下微服务需要统一管理：

• 用户服务 (user-service)
• 商品服务 (product-service)
• 订单服务 (order-service)
• 支付服务 (payment-service)

首先确保Kubernetes集群已安装Ingress控制器。以Nginx Ingress为例：

helm upgrade --install ingress-nginx ingress-nginx \
  --repo https://kubernetes.github.io/ingress-nginx \
  --namespace ingress-nginx --create-namespace

3.2 基础路由配置

创建统一的Ingress资源：

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: microservices-gateway
  annotations:
    nginx.ingress.kubernetes.io/rewrite-target: /$2
spec:
  rules:
  - host: api.yourdomain.com
    http:
      paths:
      - path: /user(/|$)(.*)
        pathType: Prefix
        backend:
          service:
            name: user-service
            port:
              number: 8080
      - path: /product(/|$)(.*)
        pathType: Prefix
        backend:
          service:
            name: product-service
            port:
              number: 8080
      - path: /order(/|$)(.*)
        pathType: Prefix
        backend:
          service:
            name: order-service
            port:
              number: 8080

这个配置实现了：

• api.yourdomain.com/user -> user-service
• api.yourdomain.com/product -> product-service
• api.yourdomain.com/order -> order-service

3.3 高级路由策略

3.3.1 基于Header的路由

可以实现灰度发布功能：

annotations:
  nginx.ingress.kubernetes.io/canary: "true"
  nginx.ingress.kubernetes.io/canary-by-header: "X-User-Type"
  nginx.ingress.kubernetes.io/canary-by-header-value: "premium"

3.3.2 流量镜像

将生产流量复制一份到测试环境：

annotations:
  nginx.ingress.kubernetes.io/mirror-target: "http://test-service.default.svc.cluster.local"

4. 安全与性能优化

4.1 安全防护配置

annotations:
  # 防止DDoS攻击
  nginx.ingress.kubernetes.io/limit-connections: "100"
  nginx.ingress.kubernetes.io/limit-rps: "50"
  
  # 启用CORS
  nginx.ingress.kubernetes.io/enable-cors: "true"
  nginx.ingress.kubernetes.io/cors-allow-origin: "*"
  
  # 禁用不安全的HTTP方法
  nginx.ingress.kubernetes.io/configuration-snippet: |
    if ($request_method !~ ^(GET|POST|PUT|DELETE)$) {
      return 405;
    }

4.2 性能调优

annotations:
  # 启用gzip压缩
  nginx.ingress.kubernetes.io/enable-rewrite-log: "true"
  
  # 连接池优化
  nginx.ingress.kubernetes.io/upstream-keepalive-connections: "100"
  nginx.ingress.kubernetes.io/upstream-keepalive-timeout: "60"
  
  # 客户端超时设置
  nginx.ingress.kubernetes.io/proxy-connect-timeout: "30"
  nginx.ingress.kubernetes.io/proxy-read-timeout: "1800"

5. 监控与告警

5.1 Prometheus监控

Nginx Ingress默认暴露了Prometheus指标。配置示例：

metrics:
  enabled: true
  serviceMonitor:
    enabled: true
    namespace: monitoring

关键监控指标：

• nginx_ingress_controller_requests：请求总数
• nginx_ingress_controller_request_duration_seconds：请求延迟
• nginx_ingress_controller_connections：活跃连接数

5.2 日志分析

建议将访问日志收集到ELK或类似系统：

controller:
  config:
    access-log-path: /var/log/nginx/access.log
    error-log-path: /var/log/nginx/error.log

6. 常见问题排查

6.1 路由不生效

检查步骤：

1. 确认Ingress控制器正在运行： kubectl get pods -n ingress-nginx
2. 查看Ingress资源状态： kubectl describe ingress microservices-gateway
3. 检查Nginx配置： kubectl exec -n ingress-nginx <pod-name> -- cat /etc/nginx/nginx.conf

6.2 502 Bad Gateway

可能原因：

• 后端服务未就绪
• 服务端口配置错误
• Pod资源不足

排查命令：

kubectl get endpoints <service-name>
kubectl logs <pod-name> -c <container-name>
kubectl describe pod <pod-name>

6.3 TLS证书问题

验证证书是否生效：

openssl s_client -connect api.yourdomain.com:443 -servername api.yourdomain.com

检查Kubernetes Secret：

kubectl get secret example-tls -o yaml

7. 进阶实践技巧

7.1 多团队协作模式

建议采用以下目录结构管理Ingress配置：

ingress/
├── team-a/
│   ├── frontend.yaml
│   └── backend.yaml
├── team-b/
│   └── api.yaml
└── global/
    ├── tls-secrets.yaml
    └── policies.yaml

使用Kustomize或Helm进行配置合并。

7.2 金丝雀发布策略

分阶段发布示例：

annotations:
  nginx.ingress.kubernetes.io/canary: "true"
  nginx.ingress.kubernetes.io/canary-weight: "10"  # 10%流量到新版本

7.3 自动化证书管理

使用cert-manager自动续期Let's Encrypt证书：

apiVersion: cert-manager.io/v1
kind: Certificate
metadata:
  name: example-com
spec:
  secretName: example-tls
  issuerRef:
    name: letsencrypt-prod
  dnsNames:
  - api.example.com