2. 云原生网关基础：Kubernetes Ingress 资源定义与 Ingress Controller 工作原理

在云原生架构中，网关是南北向流量的统一入口。Kubernetes 原生提供了 Ingress 资源对象来定义外部流量如何路由到集群内部服务，而真正实现这一路由逻辑的是 Ingress Controller。理解这两者的关系与工作原理，是构建网关回滚护栏的前提。

2.1 Ingress 资源定义

Ingress 是一个 Kubernetes API 对象，用于定义从集群外部到内部服务的 HTTP 和 HTTPS 路由规则。它本身只是一个声明式配置，不执行任何网络功能。

核心字段与示例

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: demo-ingress
  annotations:
    nginx.ingress.kubernetes.io/rewrite-target: /
spec:
  ingressClassName: nginx
  rules:
  - host: app.example.com
    http:
      paths:
      - path: /api
        pathType: Prefix
        backend:
          service:
            name: api-service
            port:
              number: 8080
      - path: /web
        pathType: Prefix
        backend:
          service:
            name: web-service
            port:
              number: 80
  tls:
  - hosts:
    - app.example.com
    secretName: tls-secret

关键字段说明

2.2 Ingress Controller 工作原理

Ingress Controller 是一个运行在集群中的 Pod，它负责监听 Kubernetes API Server 中的 Ingress 资源变化，并将这些声明式规则转换为实际的反向代理配置（如 Nginx 的 nginx.conf、Envoy 的 Listener/Route 配置）。

核心工作流程

1. 监听与同步： Controller 通过 Informer 机制监听 Ingress、Service、Endpoint、Secret 等资源的变化。
2. 配置生成： 将 Ingress 规则转换为网关代理的配置文件（如 Nginx 的 server block、Envoy 的 RouteConfiguration）。
3. 热加载/动态更新： 将新配置应用到网关进程，通常通过 reload 或 xDS 协议实现无中断更新。
4. 流量转发： 网关根据配置将外部请求转发到对应的后端 Service Pod。

2.3 主流 Ingress Controller 对比

2.4 Ingress 资源与 Controller 的协作模型

下图展示了 Ingress 资源定义与 Controller 实现之间的分层协作关系，这也是回滚护栏需要覆盖的配置变更链路。