Для чего нужен ingress-контроллер?

Что такое Ingress-контроллер и его роль в Kubernetes

Ingress-контроллер — это критически важный компонент в инфраструктуре Kubernetes, который реализует функциональность, описанную в ресурсе Ingress. Он выступает как смарт-маршрутизатор (reverse proxy) и единая точка входа (API Gateway) для внешнего трафика, направляемого в сервисы внутри кластера. Основная цель — предоставить сложную маршрутизацию HTTP/HTTPS трафика на уровне 7 (прикладного уровня модели OSI) без необходимости экспортировать каждый сервис через отдельный Service типа LoadBalancer или NodePort.

Основные задачи и функции Ingress-контроллеров

1. Централизованное управление внешним доступом к сервисам.
Вместо создания множества дорогостоящих облачных балансировщиков нагрузки (LoadBalancer) или управления портами на узлах (NodePort) для каждого микросервиса, один Ingress-контроллер принимает весь внешний трафик и распределяет его внутри кластера по правилам, заданным в ресурсах Ingress.

2. Маршрутизация и балансировка нагрузки на уровне HTTP/HTTPS.
Контроллер анализирует заголовки HTTP запросов (например, Host, path, заголовки, связанные с сессиями) и направляет трафик в соответствующие backend-сервисы (обычно представленные как Service в Kubernetes).

3. Предоставление TLS/SSL терминации.
Одна из ключевых функций — централизованное управление TLS/SSL. Ingress-контроллер может термировать TLS соединения на себе, освобождая backend-сервисы от этой задачи. Сертификаты часто хранятся в виде Secrets в Kubernetes.

4. Реализация дополнительных функций веб-сервера/прокси.
Большинство контроллеров (например, основанные на NGINX, Traefik, HAProxy) предоставляют расширенный функционал:

• Виртуальный хостинг (разные домены на один IP и порт).
• Перезапись URL (rewrite rules).
• Аутентификация и авторизация (базовая, OAuth, JWT).
• Ограничение скорости (rate limiting) и WAF (Web Application Firewall) возможности.
• Кеширование и компрессия (gzip).
• Метрики и логирование трафика.

Пример архитектуры и конфигурации

Вот типичная схема работы:

# Пример ресурса Ingress, описывающего правила маршрутизации
apiVersion: networking.kbernetes.io/v1
kind: Ingress
metadata:
  name: my-app-ingress
spec:
  tls:
  - hosts:
      - app.example.com
    secretName: tls-secret
  rules:
  - host: app.example.com
    http:
      paths:
      - path: /api
        pathType: Prefix
        backend:
          service:
            name: api-service
            port:
              number: 80
      - path: /web
        pathType: Prefix
        backend:
          service:
            name: web-frontend-service
            port:
              number: 8080

Контроллер (например, NGINX Ingress Controller) постоянно отслеживает API Kubernetes, обнаруживает этот ресурс Ingress и динамически переконфигурирует свою внутреннюю прокси-конфигурацию (например, NGINX config), чтобы реализовать заданные правила.

Типичные реализации Ingress-контроллеров

• NGINX Ingress Controller (официальный от Kubernetes community и коммерческий от F5 NGINX) — самый популярный, основан на NGINX.
• Traefik — современный контроллер, популярный благодаря динамической конфигурации и интеграции с Let's Encrypt.
• HAProxy Ingress — для высокопроизводительных сценариев.
• Contour — основан на Envoy proxy, часто используется с проектом Istio.
• AWS ALB Ingress Controller и GCE Ingress Controller — используют собственные облачные балансировщики соответствующих платформ для реализации функциональности Ingress.

Почему это необходимо: сравнение подходов

• Без Ingress: Для каждого сервиса нужен свой внешний endpoint (LoadBalancer → дорого, NodePort → управление портами сложно). Маршрутизация на уровне HTTP невозможна.
• С Ingress: Один внешний IP/адрес, сложная маршрутизация по доменам и пути, централизованная безопасность (TLS), экономия ресурсов и денег в облаке.

Практическое использование в DevOps

В DevOps-практиках Ingress-контроллер является фундаментальным элементом для:

• Создания CI/CD pipelines, где новые версии сервисов автоматически регистрируются через обновление Ingress правил.
• Реализации канареечного трафика (canary releases) и A/B тестирования через аннотации или более сложные контроллеры.
• Интеграции с системами мониторинга (Prometheus) и логирования (ELK) для сбора метрик и логов трафика.
• Автоматического управления TLS сертификатами через интеграцию с cert-manager и Let's Encrypt.

Таким образом, Ingress — это декларативное описание правил, а Ingress-контроллер — это исполняющий компонент, который превращает эти правила в работающую конфигурацию прокси-сервера, обеспечивая безопасный, эффективный и управляемый вход внешнего трафика в кластер Kubernetes. Он абстрагирует сложность сетевой инфраструктуры, позволяя разработчикам и DevOps-инженерам сосредоточиться на логике маршрутизации приложений, а не на низкоуровневых деталях сетевой конфигурации.