部署高负载场景的Nginx Ingress Controller

配置项说明

ConfigMap中的关键配置项说明如下。

配置日志自动轮转

Nginx Ingress Controller Pod默认将日志记录到/dev/stdout。随着日志文件逐渐增大，记录新日志耗费的资源也会更多。通过定时轮转日志，即将一个时间段中的日志保存到独立文件中，并清除原有日志记录的方法，可降低记录日志的资源消耗。

1. 以SSH方式登录部署Nginx Ingress Controller Pod的ECS节点。具体操作，请参见通过密钥认证登录Linux实例。

2. 在/root目录下添加文件nginx-log-rotate.sh。

   containerd节点

   #!/bin/bash
   # 最多保留日志文件个数，可根据需求进行调整。
   keep_log_num=5
   
   #获取所有运行中的ingress-nginx容器ID
   ingress_nginx_container_ids=$(crictl ps | grep nginx-ingress-controller | grep -v pause | awk '{print $1}')
   if [[ -z "$ingress_nginx_container_ids" ]]; then
    echo "error: failed to get ingress nginx container ids"
    exit 1
   fi
   
   # 随机睡眠5~10秒。
   sleep $(( RANDOM % (10 - 5 + 1 ) + 5 ))
   for id in $ingress_nginx_container_ids; do
    crictl exec $id bash -c "cd /var/log/nginx; if [[ \$(ls access.log-* | wc -l) -gt $keep_log_num ]]; then rm -f \$(ls -t access.log-* | tail -1); fi ; mv access.log access.log-\$(date +%F:%T) ; kill -USR1 \$(cat /tmp/nginx/nginx.pid)"
   done	
   

   Docker节点

   #!/bin/bash
   # 最多保留日志文件个数，可根据需求进行调整。
   keep_log_num=5
   
   #获取所有运行中的ingress-nginx容器ID
   ingress_nginx_container_ids=$(docker ps | grep nginx-ingress-controller | grep -v pause | awk '{print $1}')
   if [[ -z "$ingress_nginx_container_ids" ]]; then
    echo "error: failed to get ingress nginx container ids"
    exit 1
   fi
   
   # 随机睡眠5~10秒。
   sleep $(( RANDOM % (10 - 5 + 1 ) + 5 ))
   for id in $ingress_nginx_container_ids; do
    docker exec $id bash -c "cd /var/log/nginx; if [[ \$(ls access.log-* | wc -l) -gt $keep_log_num ]]; then rm -f \$(ls -t access.log-* | tail -1); fi ; mv access.log access.log-\$(date +%F:%T) ; kill -USR1 \$(cat /tmp/nginx/nginx.pid)"
   done	
   	

3. 执行以下命令，对nginx-log-rotate.sh文件添加可执行权限。

   chmod 755 /root/nginx-log-rotate.sh

4. 在/etc/crontab文件结尾添加以下内容：

   */15 * * * *  root /root/nginx-log-rotate.sh

   说明

   此示例使用Cron表达式，每15分钟对日志轮转一次，您可根据实际需求进行调整。

启用Brotli压缩

压缩是一种通过牺牲CPU时间来节省大量网络带宽的通用方法，能够提升吞吐量。Brotli是Google开发的一种压缩算法。相较于常用的gzip压缩算法（Nginx Ingress Controller默认使用gzip），Brotli在文本类数据（如网页资源）上的压缩率通常比 gzip 高约 15%~30%，但具体提升取决场景的详细情况。在Nginx Ingress中启用Brotli压缩，需要配置以下参数。

• enable-brotli: 是否启用Brotli压缩算法，取值为 true 或 false。

• brotli-level: 压缩级别，范围是1到11，默认是4。级别越高，CPU性能消耗越大。

• brotli-types: 指定使用Brotli即时压缩的MIME类型。

您可通过在ConfigMap中添加以下配置启用Brotli压缩：

data:
  enable-brotli: "true"
  brotli-level: "6"
  brotli-types: "text/xml image/svg+xml application/x-font-ttf image/vnd.microsoft.icon application/x-font-opentype application/json font/eot application/vnd.ms-fontobject application/javascript font/otf application/xml application/xhtml+xml text/javascript application/x-javascript text/plain application/x-font-truetype application/xml+rss image/x-icon font/opentype text/css image/x-win-bitmap"

HTTPS性能优化

为了提升Nginx ingress Controller的HTTPS的性能，可以配置以下参数：SSL 会话缓存、OCSP Stapling、TLS 1.3 早期数据以及调整密码套件优先级。

• SSL会话缓存与超时

  设置SSL 共享会话缓存的大小以及重用缓存中存储的会话参数的时间，可以减少SSL握手的开销。

  • ConfigMap配置：

    data:
      ssl-session-cache-size: "10m"
      ssl-session-timeout: "10m"

  • 对应Nginx侧的nginx.conf配置，可以根据实际场景需求调整。

    ssl_session_cache shared:SSL:120m;   # 1m 4000个。
    ssl_session_timeout 1h;              # 会话超时时间为1小时。

• 启用OCSP Stapling

  使用OCSP Stapling可以减少客户端证书验证的时间。

  data:
    enable-ocsp: "true"

• 支持TLS 1.3早期数据（0-RTT）

  启用TLS 1.3的0-RTT功能可以允许客户端在握手完成之前就发送数据，从而减少连接建立的延迟。

  data:
    ssl-early-data: "true"
    ssl-protocols: "TLSv1.3"

• 调整Cipher优先级（无需手动调优）

  通过调整加密套件的优先级，可以有效降低延迟。Nginx Ingress Controller的默认配置已进行了优化。

  ssl_ciphers 'ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384';
  ssl_prefer_server_ciphers on;    # 优先使用服务器端的Cipher配置。