#Ingress-Nginx 的任务

#先决条件

安装 ingress-nginx

#最大连接数

Max-Worker-Connections

#请求超时

配置请求超时

#会话亲和性（粘性会话）

配置粘性会话

#Header 修改

#URL 重写

rewrite

#HSTS（HTTP 严格传输安全）

配置 HSTS

#速率限制

配置速率限制

#WAF

modsecurity

#Forward-header 控制

x-forwarded-prefix-header

#HTTPS

#TLS 重新加密并验证后端证书

验证后端 HTTPS 证书

#TLS 边缘终止

后端协议

#直通

ssl-passthrough

#默认证书

使用以下 yaml 部署带有默认证书的 ingress-nginx

apiVersion: ingress-nginx.alauda.io/v1
kind: IngressNginx
metadata:
  name: demo
spec:
  controller:
    extraArgs:
      default-ssl-certificate: $DEFAULT_CERT_NAMESPACE/$DEFAULT_CERT_NAME

请参阅 default-ssl-certificate

#在 IngressNginx 中添加 Pod 注解

添加 Pod 注解

#保留源 IP

流量经过负载均衡器或代理时，NAT（网络地址转换）可能会导致原始客户端 IP 地址丢失。保留源 IP 很重要，原因包括：

• 访问控制和安全策略
• 准确的日志记录和分析
• 按客户端进行速率限制
• 基于地理位置的路由

#通过 HAProxy Proxy Protocol

#工作原理

PROXY protocol 是一种网络协议，用于在代理 TCP 连接时保留客户端连接信息。它通过在 TCP 连接前添加一个包含原始源 IP 和端口的 header 来实现。

流量流程：

1. 客户端连接到 HAProxy 负载均衡器
2. HAProxy 在连接前添加包含原始客户端 IP 的 PROXY protocol header
3. Ingress-Nginx 接收连接并解析 PROXY protocol header
4. Ingress-Nginx 从 header 中提取真实客户端 IP
5. 后端应用在 X-Forwarded-For 和 X-Real-IP header 中收到正确的客户端 IP

优点：

• 适用于任何支持 PROXY protocol 的负载均衡器（HAProxy、AWS NLB 等）
• 可在多个代理层之间保留源 IP
• 不影响路由或节点选择

注意事项：

• 负载均衡器和 Ingress-Nginx 都必须配置为使用 PROXY protocol
• 启用后，所有到 Ingress-Nginx 的流量都必须使用 PROXY protocol（混用 PROXY 和非 PROXY 流量会导致连接失败）

#配置方法

配置 HAProxy 负载均衡器以发送 PROXY protocol header，然后部署启用了 proxy-protocol 支持的 ingress-nginx：

apiVersion: ingress-nginx.alauda.io/v1
kind: IngressNginx
metadata:
  name: demo
  namespace: ingress-nginx-operator
spec:
  controller:
    config:
      use-proxy-protocol: "true" # enable proxy-protocol support

frontend tcp_front_80
    bind *:80
    mode tcp
    default_backend ingress_tcp_80
    
frontend tcp_front_443
    bind *:443
    mode tcp
    default_backend ingress_tcp_443
    
backend ingress_tcp_80
    mode tcp
    balance roundrobin
    server node1 192.168.133.46:80 check send-proxy-v2
    
backend ingress_tcp_443
    mode tcp
    balance roundrobin
    server node1 192.168.133.46:443 check send-proxy-v2

更多详情请参阅 PROXY protocol 文档。

注意：HAProxy 可以使用 TCP 模式转发流量，而无需处理 TLS 证书。由于 PROXY protocol 在 TCP 层工作，因此可以让 Ingress-Nginx 直接处理 HTTPS 终止和证书管理，无需在 HAProxy 中配置证书。

#通过 MetalLB 和 externalTrafficPolicy=Local

#工作原理

使用带有 type: LoadBalancer 的 Kubernetes Service 时，默认行为（externalTrafficPolicy: Cluster）会执行源 NAT，将客户端 IP 替换为节点 IP。设置 externalTrafficPolicy: Local 可通过以下方式保留源 IP：

1. 直接路由：流量仅路由到接收流量的同一节点上的 Pod
2. 不执行 SNAT：kube-proxy 不执行源 NAT，从而保留原始客户端 IP
3. 运行状况检查：只有具有正常本地 Pod 的节点才会纳入负载均衡器池

流量流程：

1. 客户端连接到 MetalLB 虚拟 IP
2. MetalLB 将流量直接路由到具有 Ingress-Nginx Pod 的节点
3. 流量在不经过 SNAT 的情况下直接到达本地 Ingress-Nginx Pod
4. Ingress-Nginx 获取真实客户端 IP
5. 后端应用在 header 中收到正确的客户端 IP

优点：

• 配置简单，无需额外协议
• Kubernetes 原生功能
• 延迟更低（没有额外的代理跳转）

注意事项：

• 负载分布不均：流量只能到达具有本地 Pod 的节点，可能导致负载不均衡
• Pod 调度：Ingress-Nginx Pod 必须调度到 MetalLB 可以路由到的节点上（使用 nodeSelector 确保对齐）
• 运行状况检查行为：如果所有本地 Pod 都不健康，该节点将完全从负载均衡中移除
• 污点节点：如果选定节点具有 NoSchedule 污点，请为 Ingress-Nginx 和 MetalLB 配置匹配的容忍度

#配置方法

部署带有 externalTrafficPolicy: Local 的 ingress-nginx，并确保 Pod 放置位置与 MetalLB 配置一致：

apiVersion: ingress-nginx.alauda.io/v1
kind: IngressNginx
metadata:
  name: demo
  namespace: ingress-nginx-operator
spec:
  controller:
    service:
      type: LoadBalancer                    # Use MetalLB to provision a LoadBalancer service
      externalTrafficPolicy: Local          # Preserve source IP by routing traffic only to local pods
      annotations:
        metallb.universe.tf/address-pool: demo-pool  # Specify the MetalLB IP address pool to use
    nodeSelector:                           # Schedule pods only on nodes matching these labels. This selector must match the MetalLB L2Advertisement node selector
      dedicated: ingress
    tolerations:
      - key: dedicated
        operator: Equal
        value: ingress
        effect: NoSchedule

重要：

• nodeSelector 必须与 MetalLB L2Advertisement 选择的节点一致，以便将 Ingress-Nginx Pod 调度到能够接收 MetalLB 流量的节点上。
• 在 MetalLB 自定义资源中配置相同的节点选择和容忍度：speaker 使用 spec.nodeSelector 和 spec.speakerTolerations，controller 使用 spec.controllerNodeSelector 和 spec.controllerTolerations。默认情况下，MetalLB 不容忍任何额外污点。

更多详情请参阅 externalTrafficPolicy 文档。