ingress-nginx 面试题
30 道题- 分类
- Kubernetes
- 子分类
- ingress
- 题目数
- 30 道
已阅读 0 / 30 题
1 ingress-nginx 的架构由哪些组件构成？
答案：
ingress-nginx 基于 NGINX 反向代理和 Lua 扩展实现，核心组件包括 Controller、NGINX、ConfigMap 和 Admission Webhook。
- Controller：以 Deployment 或 DaemonSet 方式运行，核心职责包括：Watch Ingress/Service/Endpoint/ConfigMap 资源变化，动态生成 NGINX 配置文件（nginx.conf），通过 Lua 模块实现零停机热加载。
- NGINX：承接实际流量，执行反向代理、负载均衡、SSL 终止、重写规则等功能。
- ConfigMap：存储全局 NGINX 配置参数（worker_processes、client-body-size、proxy-timeout 等），Controller 监视其变化并刷新配置。
- Admission Webhook：验证 Ingress 资源的合法性（Annotation 格式、TLS Secret 是否存在），防止无效配置导致 Controller 崩溃。
流量路径：
外部请求 → LoadBalancer VIP → NodePort → Controller Pod
→ NGINX 监听 80/443 → 根据 Ingress 规则选择后端 Service
→ Endpoint → 后端 Pod
2 ingress-nginx 如何处理 HTTPS/TLS 终止？
答案：
ingress-nginx 通过 Kubernetes Secret 管理 TLS 证书，在 NGINX 层面完成 SSL 终止。
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
name: tls-ingress
spec:
ingressClassName: nginx
tls:
- hosts:
- app.example.com
secretName: app-tls-secret
rules:
- host: app.example.com
http:
paths:
- path: /
pathType: Prefix
backend:
service:
name: app-svc
port:
number: 80
证书管理：Controller Watch Secret 变更后自动更新 NGINX SSL 配置，热加载后立即生效。cert-manager 可自动签发和续期 TLS 证书。
HTTPS 强制跳转：
annotations:
nginx.ingress.kubernetes.io/ssl-redirect: "true"
nginx.ingress.kubernetes.io/force-ssl-redirect: "true"
3 ingress-nginx 如何实现灰度发布（Canary）？
答案：
通过 Annotation 实现基于权重或请求头的流量路由。
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
name: app-canary
annotations:
nginx.ingress.kubernetes.io/canary: "true"
nginx.ingress.kubernetes.io/canary-weight: "10" # 10% 流量
spec:
ingressClassName: nginx
rules:
- host: app.example.com
http:
paths:
- path: /
pathType: Prefix
backend:
service:
name: app-canary-svc
port:
number: 80
匹配模式：
| 模式 | Annotation | 说明 |
|---|---|---|
| 权重 | canary-weight | 按百分比随机分配 |
| 请求头 | canary-by-header | Header 存在即匹配 |
| 请求头值 | canary-by-header-value | Header 等于特定值 |
| Cookie | canary-by-cookie | Cookie 值触发 |
4 ingress-nginx 的 ConfigMap 有哪些关键配置？
答案：
ConfigMap 控制 NGINX 全局行为，修改后 Controller 自动热加载。
| 配置项 | 默认值 | 说明 |
|---|---|---|
worker-processes | auto | NGINX Worker 进程数 |
worker-connections | 1024 | 每 Worker 最大连接数 |
proxy-body-size | 1m | 请求体大小限制 |
proxy-connect-timeout | 5s | 后端连接超时 |
proxy-read-timeout | 60s | 后端读取超时 |
proxy-send-timeout | 60s | 后发送超时 |
keep-alive | 75 | HTTP Keep-Alive 超时 |
ssl-protocols | TLSv1.2 TLSv1.3 | SSL 协议版本 |
use-forwarded-headers | false | 使用 X-Forwarded-* 头 |
enable-real-ip | false | 启用真实 IP |
log-format-upstream | 默认格式 | 访问日志格式 |
client-header-buffer-size | 64k | 请求头缓冲区 |
配置示例：
apiVersion: v1
kind: ConfigMap
metadata:
name: ingress-nginx-controller
namespace: ingress-nginx
data:
proxy-body-size: "50m"
proxy-read-timeout: "120"
ssl-protocols: "TLSv1.3"
enable-real-ip: "true"
forwarded-for-header: "X-Forwarded-For"
5 ingress-nginx 如何配置重写规则（Rewrite）？
答案：
通过 Annotation nginx.ingress.kubernetes.io/rewrite-target 实现 URL 路径重写。
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
name: rewrite-ingress
annotations:
nginx.ingress.kubernetes.io/rewrite-target: /$2
nginx.ingress.kubernetes.io/use-regex: "true"
spec:
ingressClassName: nginx
rules:
- host: app.example.com
http:
paths:
- path: /api(/|$)(.*)
pathType: ImplementationSpecific
backend:
service:
name: api-svc
port:
number: 8080
常用重写 Annotation：
| Annotation | 作用 |
|---|---|
| rewrite-target | 请求路径重写目标 |
| use-regex | 启用正则路径匹配 |
| app-root | 根路径重定向 |
| server-snippet / configuration-snippet | 自定义 NGINX 配置片段 |
应用场景：
外部请求 /api/v1/users → 后端 /v1/users
外部请求 /old-path → 301 重定向到 /new-path
6 ingress-nginx 如何获取客户端真实 IP？
答案：
ingress-nginx 通过 X-Forwarded-For 和 X-Real-IP 头传递客户端真实 IP。
配置：
# ConfigMap 启用真实 IP
data:
use-forwarded-headers: "true"
forwarded-for-header: "X-Forwarded-For"
enable-real-ip: "true"
proxy-real-ip-cidr: "0.0.0.0/0" # 信任的代理 CIDR
外部和内部流量处理：
外部请求 → LB → ingress-nginx → Pod
→ X-Forwarded-For: <client-IP>, <LB-IP>
建议将 proxy-real-ip-cidr 限制为 LB 的 CIDR 范围，防止 IP 欺骗。
7 ingress-nginx 如何配置跨域（CORS）？
答案：
通过 Annotation 配置跨域资源共享。
annotations:
nginx.ingress.kubernetes.io/enable-cors: "true"
nginx.ingress.kubernetes.io/cors-allow-origin: "https://app.example.com"
nginx.ingress.kubernetes.io/cors-allow-methods: "GET, POST, PUT, DELETE, OPTIONS"
nginx.ingress.kubernetes.io/cors-allow-headers: "Authorization, Content-Type"
nginx.ingress.kubernetes.io/cors-allow-credentials: "true"
nginx.ingress.kubernetes.io/cors-max-age: "86400"
8 ingress-nginx 如何限制访问速率？
答案：
通过 Annotation 实现基于 NGINX limit_req 模块的速率限制。
annotations:
nginx.ingress.kubernetes.io/limit-rps: "100" # 每秒请求数
nginx.ingress.kubernetes.io/limit-rpm: "6000" # 每分钟请求数
nginx.ingress.kubernetes.io/limit-connections: "50" # 并发连接限制
nginx.ingress.kubernetes.io/limit-rate-after: "10m" # 限速开始流量
nginx.ingress.kubernetes.io/limit-rate: "5m" # 限速后速率
nginx.ingress.kubernetes.io/limit-burst-multiplier: "5" # 突发倍数
限速范围和维度：
- Ingress 级别：整个 Ingress 的速率限制
- Annotations 级别：按 Ingress 规则
9 ingress-nginx 如何实现会话保持（Session Affinity）？
答案：
通过 Cookie 实现会话保持。
annotations:
nginx.ingress.kubernetes.io/affinity: "cookie"
nginx.ingress.kubernetes.io/session-cookie-name: "route"
nginx.ingress.kubernetes.io/session-cookie-path: "/"
nginx.ingress.kubernetes.io/session-cookie-max-age: "86400"
nginx.ingress.kubernetes.io/session-cookie-expires: "86400"
实现原理： NGINX 使用 sticky cookie 在首次请求时生成 Cookie，后续请求根据 Cookie 值路由到同一后端 Pod。
10 ingress-nginx 如何配置上游 TLS 后端？
答案：
当后端 Service 需要 HTTPS 通信时，use-ssl-backend 将从 HTTP 升级到 HTTPS。
annotations:
nginx.ingress.kubernetes.io/backend-protocol: "HTTPS"
nginx.ingress.kubernetes.io/secure-backends: "true" # 弃用，使用 backend-protocol
# 设置上游 SSL 证书验证
nginx.ingress.kubernetes.io/proxy-ssl-secret: "default/backend-tls"
nginx.ingress.kubernetes.io/proxy-ssl-verify: "on"
11 ingress-nginx 如何配置白名单访问？
答案：
通过 Annotation 限制来源 IP。
annotations:
nginx.ingress.kubernetes.io/whitelist-source-range: "10.0.0.0/8, 192.168.0.0/16"
12 ingress-nginx 如何实现自定义错误页面？
答案：
通过 ConfigMap 配置自定义错误服务和页面。
# ConfigMap 配置
data:
custom-http-errors: "404,503"
default-backend-service: "ingress-nginx/error-pages-svc"
# 自定义错误后端 Service
apiVersion: v1
kind: Service
metadata:
name: error-pages-svc
spec:
ports:
- port: 80
targetPort: 8080
13 ingress-nginx 如何实现 WebSocket 支持？
答案：
ingress-nginx 原生支持 WebSocket，无需额外配置。NGINX 自动检测 Upgrade 头并建立隧道。
# 可选配置 WebSocket 超时
annotations:
nginx.ingress.kubernetes.io/proxy-read-timeout: "3600"
nginx.ingress.kubernetes.io/proxy-send-timeout: "3600"
14 ingress-nginx 如何设置自定义请求/响应头？
答案：
annotations:
nginx.ingress.kubernetes.io/configuration-snippet: |
more_set_headers "X-Frame-Options: DENY";
more_set_headers "X-Content-Type-Options: nosniff";
more_set_headers "Strict-Transport-Security: max-age=31536000";
proxy_set_header X-Custom-Header "custom-value";
15 ingress-nginx 的 Auth 认证机制有哪些？
答案：
支持基本认证、外部认证和 OAuth 代理三种模式。
基本认证：
htpasswd -c auth admin
kubectl create secret generic basic-auth --from-file=auth
annotations:
nginx.ingress.kubernetes.io/auth-type: basic
nginx.ingress.kubernetes.io/auth-secret: basic-auth
nginx.ingress.kubernetes.io/auth-realm: "Authentication Required"
外部认证：
annotations:
nginx.ingress.kubernetes.io/auth-url: "https://auth.example.com/verify"
nginx.ingress.kubernetes.io/auth-method: "GET"
nginx.ingress.kubernetes.io/auth-response-headers: "X-Auth-User"
nginx.ingress.kubernetes.io/auth-cache-key: "auth_cache_$remote_user"
nginx.ingress.kubernetes.io/auth-cache-duration: "200 202 401"
16 ingress-nginx 如何实现 TCP/UDP 服务的四层转发？
答案：
ingress-nginx 支持通过 ConfigMap 暴露非 HTTP 的 TCP/UDP 端口。
# tcp-services ConfigMap
apiVersion: v1
kind: ConfigMap
metadata:
name: tcp-services
namespace: ingress-nginx
data:
"3306": "default/mysql-svc:3306"
"6379": "default/redis-svc:6379"
# udp-services ConfigMap
data:
"53": "kube-system/coredns-svc:53"
需在 Controller 启动参数中添加：--tcp-services-configmap=$(POD_NAMESPACE)/tcp-services。
17 ingress-nginx 如何实现健康检查和故障恢复？
答案：
NGINX 通过 proxy_next_upstream 实现后端健康检查和自动故障转移。
annotations:
nginx.ingress.kubernetes.io/proxy-next-upstream: "error timeout invalid_header http_502 http_503"
nginx.ingress.kubernetes.io/proxy-next-upstream-tries: "3"
nginx.ingress.kubernetes.io/proxy-next-upstream-timeout: "10"
Lua 健康检查（主动）：
- Controller 内置 Lua 脚本定期检测后端 Endpoint 健康
- 自动将不健康的端点从 Upstream 中摘除
- Global ConfigMap 中配置：
upstream-healthcheck-path: "/healthz"
18 ingress-nginx 如何实现 SSL Passthrough？
答案：
SSL Passthrough 将 TLS 流量直接转发到后端，ingress-nginx 不解密。
annotations:
nginx.ingress.kubernetes.io/ssl-passthrough: "true"
# Controller 启动参数需启用
spec:
template:
spec:
containers:
- args:
- --enable-ssl-passthrough
注意： SSL Passthrough 启用后无法进行 TLS 终止和基于 HTTP 的路由（如 path 匹配），仅支持基于 SNI（Server Name Indication）的路由。使用 Layer 4 转发。
19 ingress-nginx 如何优化大文件上传？
答案：
# ConfigMap
data:
proxy-body-size: "0" # 取消请求体限制
proxy-request-buffering: "off" # 关闭请求缓冲
proxy-buffering: "off" # 关闭响应缓冲
# Ingress
annotations:
nginx.ingress.kubernetes.io/proxy-body-size: "2000m"
nginx.ingress.kubernetes.io/proxy-request-buffering: "off"
nginx.ingress.kubernetes.io/proxy-buffering: "off"
nginx.ingress.kubernetes.io/proxy-max-temp-file-size: "0"
20 ingress-nginx 如何实现自定义 NGINX 配置片段？
答案：
# 全局级别（ConfigMap）
data:
http-snippet: |
geo $country {
default ZZ;
10.0.0.0/8 CN;
192.168.0.0/16 US;
}
server-snippet: |
if ($country = ZZ) {
return 403;
}
# Ingress 级别
annotations:
nginx.ingress.kubernetes.io/server-snippet: |
location /internal {
deny all;
return 403;
}
nginx.ingress.kubernetes.io/configuration-snippet: |
add_header X-Custom "value";
if ($host = admin.example.com) {
set $auth "off";
}
21 ingress-nginx 如何监控和日志管理？
答案：
提供 Prometheus 指标、访问日志和 Stats 接口。
Prometheus 指标：
# ConfigMap 启用
data:
enable-prometheus-metrics: "true"
关键指标：nginx_ingress_controller_requests、nginx_ingress_controller_connections、nginx_ingress_controller_request_duration_seconds。
访问日志：
data:
log-format-upstream: '{"time": "$time_iso8601", "remote_addr": "$remote_addr", "host": "$host", "method": "$request_method", "uri": "$uri", "status": $status, "body_bytes": $body_bytes_sent, "upstream_addr": "$upstream_addr", "request_time": $request_time, "upstream_response_time": "$upstream_response_time"}'
22 ingress-nginx 如何处理大规模集群的性能问题？
答案：
# ConfigMap 大规模集群优化
data:
worker-processes: "auto"
worker-connections: "65536"
max-worker-connections: "65536"
use-http2: "true"
enable-lua: "true"
lua-max-running-timers: "4096"
lua-max-pending-timers: "4096"
large-client-header-buffers: "4 8k"
keep-alive: "120"
upstream-keepalive-connections: "320"
upstream-keepalive-timeout: "120"
LB 和 Ingress 层的连接数关系：
每 Ingress Controller 最大连接 = worker-processes × worker-connections
示例：auto(通常等于 CPU 核数) × 65536 = 数百万并发
23 ingress-nginx 的安装方式有哪些？
答案：
Helm（推荐）：
helm repo add ingress-nginx https://kubernetes.github.io/ingress-nginx
helm upgrade --install ingress-nginx ingress-nginx/ingress-nginx \
--namespace ingress-nginx --create-namespace
Kubectl 清单：
kubectl apply -f https://raw.githubusercontent.com/kubernetes/ingress-nginx/controller-v1.10.0/deploy/static/provider/baremetal/deploy.yaml
关键配置参数：
# values.yaml
controller:
service:
type: LoadBalancer
externalTrafficPolicy: Local
config:
use-forwarded-headers: "true"
proxy-body-size: "50m"
replicaCount: 3
autoscaling:
enabled: true
minReplicas: 3
maxReplicas: 10
resources:
requests:
cpu: 500m
memory: 1Gi
24 ingress-nginx 如何处理全局速率限制（Global Rate Limit）？
答案：
全局速率限制在 Controller 级别生效，不受单个 Ingress 规则影响。
# ConfigMap 配置
data:
limit-rate-after: "10m" # 10MB 后限速
limit-rate: "5m" # 限速至 5MB/s
# Ingress 级别覆盖
annotations:
nginx.ingress.kubernetes.io/limit-rps: "1000"
nginx.ingress.kubernetes.io/limit-burst-multiplier: "5"
25 ingress-nginx 的 IngressClass 如何工作？
答案：
IngressClass 资源将 Ingress 与 Controller 实例关联，支持多 Ingress Controller 共存。
apiVersion: networking.k8s.io/v1
kind: IngressClass
metadata:
name: nginx
spec:
controller: k8s.io/ingress-nginx
parameters:
apiGroup: k8s.io
kind: IngressParameters
name: nginx-config
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
name: app-ingress
spec:
ingressClassName: nginx # 引用 IngressClass
rules:
- host: app.example.com
http:
paths:
- path: /
pathType: Prefix
backend:
service:
name: app-svc
port:
number: 80
默认 IngressClass：
apiVersion: networking.k8s.io/v1
kind: IngressClass
metadata:
name: nginx
annotations:
ingressclass.kubernetes.io/is-default-class: "true"
26 ingress-nginx 如何实现 Server-Sent Events（SSE）和长连接？
答案：
annotations:
nginx.ingress.kubernetes.io/proxy-buffering: "off"
nginx.ingress.kubernetes.io/proxy-read-timeout: "7200"
nginx.ingress.kubernetes.io/proxy-send-timeout: "7200"
nginx.ingress.kubernetes.io/proxy-cache: "off"
nginx.ingress.kubernetes.io/proxy-http-version: "1.1"
27 ingress-nginx 如何实现 HTTP/2 和 gRPC 支持？
答案：
annotations:
nginx.ingress.kubernetes.io/backend-protocol: "GRPC"
nginx.ingress.kubernetes.io/ssl-redirect: "true"
# ConfigMap 启用 HTTP/2
data:
use-http2: "true"
gRPC 后端必须使用 HTTPS 或 HTTP/2 协议通信。 ingress-nginx 将前端 HTTP/2 请求转换为后端 HTTP/1.1 或 HTTP/2 转发。
28 ingress-nginx 如何进行排错？
答案：
# 检查 Controller Pod 状态
kubectl -n ingress-nginx get pods
kubectl -n ingress-nginx logs -l app.kubernetes.io/name=ingress-nginx
# 检查 Ingress 资源
kubectl describe ingress <name>
kubectl describe svc <backend-svc>
# 检查生成的 NGINX 配置
kubectl -n ingress-nginx exec <controller-pod> -- cat /etc/nginx/nginx.conf
# 检查 TLS Secret
kubectl describe secret <tls-secret>
# 检查 Controller 配置
kubectl -n ingress-nginx describe cm ingress-nginx-controller
常见问题：
| 问题 | 原因 | 排查 |
|---|---|---|
| 502 Bad Gateway | 后端 Service 端口不匹配 | 检查 Service 端口和 Pod 端口 |
| 404 Not Found | 路径不匹配 | 检查 Ingress path 配置 |
| 证书错误 | Secret 格式错误 | base64 解码检查 cert/key |
| 配置不生效 | Annotation 拼写错误 | kubectl describe 检查事件 |
29 ingress-nginx 如何配置自定义上游超时？
答案：
annotations:
nginx.ingress.kubernetes.io/proxy-connect-timeout: "30"
nginx.ingress.kubernetes.io/proxy-read-timeout: "120"
nginx.ingress.kubernetes.io/proxy-send-timeout: "120"
30 ingress-nginx 如何实现多命名空间 Ingress 共享？
答案：
一个 ingress-nginx Controller 实例可以处理所有命名空间的 Ingress 资源。
# Controller 启动参数
spec:
template:
spec:
containers:
- args:
- --watch-ingress-without-class=true # 监视无 IngressClass 的 Ingress
- --watch-namespace="" # 空 = 所有命名空间
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
name: shared-ingress
namespace: team-a
spec:
ingressClassName: nginx
rules:
- host: team-a.app.example.com
http:
paths:
- path: /
pathType: Prefix
backend:
service:
name: team-a-svc
port:
number: 80
多命名空间隔离： 不同命名空间的 Ingress 使用不同的 host，或通过路径前缀区分。同一个 Ingress Controller 可服务所有命名空间。