2. 核心资源模型：GatewayClass、Gateway、HTTPRoute、ReferenceGrant、TLSRoute、TCPRoute、UDPRoute

Gateway API 的核心资源模型由七个关键 CRD（Custom Resource Definition）构成，它们共同定义了从集群入口到后端服务的完整流量治理路径。理解这些资源之间的层级关系、职责边界以及协同方式，是进行 Helm 参数化配置与测试验证的基础。

2.1 资源模型总览与层级关系

Gateway API 采用分层抽象设计，将基础设施提供者、集群运维人员和应用开发者的关注点分离。核心资源分为三个层级：

• 基础设施层：GatewayClass — 定义由哪个控制器（如 Istio、Contour、NGINX）实现。
• 集群管理层：Gateway — 代表一个具体的负载均衡器或代理实例，关联到 GatewayClass。
• 应用路由层：HTTPRoute、TLSRoute、TCPRoute、UDPRoute — 定义流量如何从 Gateway 转发到后端 Service。

此外，ReferenceGrant 作为安全跨命名空间引用的授权机制，允许路由规则引用其他命名空间中的后端服务。

2.2 GatewayClass — 基础设施入口

GatewayClass 是集群范围的资源，类似于 StorageClass 在存储领域的角色。它声明了一种可用的网关实现，并指定由哪个控制器负责处理该类的 Gateway 实例。

2.3 Gateway — 网关实例

Gateway 是命名空间范围的资源，代表一个具体的负载均衡器或代理实例。它定义了监听端口、协议类型、TLS 配置以及允许关联的路由类型。

apiVersion: gateway.networking.k8s.io/v1
kind: Gateway
metadata:
  name: my-gateway
  namespace: default
spec:
  gatewayClassName: my-gateway-class
  listeners:
  - name: http
    protocol: HTTP
    port: 80
    allowedRoutes:
      kinds:
      - kind: HTTPRoute
      namespaces:
        from: Same
  - name: https
    protocol: HTTPS
    port: 443
    tls:
      mode: Terminate
      certificateRefs:
      - name: my-tls-secret
    allowedRoutes:
      kinds:
      - kind: HTTPRoute
      namespaces:
        from: All

2.4 HTTPRoute — 七层路由核心

HTTPRoute 是使用最频繁的路由资源，用于定义 HTTP/HTTPS 流量的匹配规则、转发目标和高级策略（如重定向、重写、镜像）。

apiVersion: gateway.networking.k8s.io/v1
kind: HTTPRoute
metadata:
  name: my-http-route
  namespace: default
spec:
  parentRefs:
  - name: my-gateway
    sectionName: http
  hostnames:
  - "example.com"
  rules:
  - matches:
    - path:
        type: PathPrefix
        value: /api
    backendRefs:
    - name: api-service
      port: 8080
      weight: 90
    - name: api-service-canary
      port: 8080
      weight: 10
  - matches:
    - path:
        type: Exact
        value: /healthz
    backendRefs:
    - name: health-service
      port: 8080

2.5 TLSRoute — 四层 TLS 代理

TLSRoute 用于处理 TLS 透传（Passthrough）或 TLS 终止（Terminate）场景下的流量路由。它基于 SNI（Server Name Indication）进行匹配，适用于需要保持 TLS 连接端到端加密的场景。

apiVersion: gateway.networking.k8s.io/v1alpha2
kind: TLSRoute
metadata:
  name: my-tls-route
  namespace: default
spec:
  parentRefs:
  - name: my-gateway
    sectionName: tls-passthrough
  hostnames:
  - "secure-app.example.com"
  rules:
  - backendRefs:
    - name: secure-app-service
      port: 443

2.6 TCPRoute 与 UDPRoute — 四层协议路由

TCPRoute 和 UDPRoute 分别用于处理 TCP 和 UDP 协议的流量路由，适用于数据库连接、DNS 查询、Syslog 等非 HTTP 协议场景。

apiVersion: gateway.networking.k8s.io/v1alpha2
kind: TCPRoute
metadata:
  name: my-tcp-route
  namespace: default
spec:
  parentRefs:
  - name: my-gateway
    sectionName: tcp
  rules:
  - backendRefs:
    - name: database-service
      port: 3306
---
apiVersion: gateway.networking.k8s.io/v1alpha2
kind: UDPRoute
metadata:
  name: my-udp-route
  namespace: default
spec:
  parentRefs:
  - name: my-gateway
    sectionName: udp
  rules:
  - backendRefs:
    - name: dns-service
      port: 53

2.7 ReferenceGrant — 跨命名空间授权

ReferenceGrant 是 Gateway API 中实现安全跨命名空间引用的关键资源。它允许一个命名空间中的资源（如 Route）引用另一个命名空间中的资源（如 Service 或 Secret）。

apiVersion: gateway.networking.k8s.io/v1beta1
kind: ReferenceGrant
metadata:
  name: allow-route-to-service
  namespace: backend-ns
spec:
  from:
  - group: gateway.networking.k8s.io
    kind: HTTPRoute
    namespace: frontend-ns
  to:
  - group: ""
    kind: Service

2.8 资源模型测试验证清单

在 Helm 参数化部署后，需要针对每个核心资源进行验证。以下清单覆盖了关键验证点：