Ingress常见问题的解决方法_容器服务 Kubernetes 版 ACK-阿里云帮助中心

本文主要为您介绍Nginx Ingress常见问题的处理方法。

Ingress支持哪些SSL/TLS版本？
Ingress L7请求头默认是透传的吗？
后端服务为HTTPS服务访问时是否可以通过Ingress-Nginx转发？
Ingress L7透传客户端IP吗？
Nginx Ingress Controller组件支持HSTS吗？
Ingress-Nginx支持哪些Rewrite配置？
部署Ingress Controller使用私网SLB
在ACK组件管理中升级Nginx Ingress Controller组件时，系统所做的更新是什么？
如何将Ingress-nginx的监听由四层改为七层（HTTPS/HTTP）？
应用市场部署的ack-ingress-nginx如何使用已有SLB？

Ingress支持哪些SSL/TLS版本？

Ingress-Nginx默认支持TLS V1.2及V1.3版本，对于部分旧版本的浏览器，或者移动客户端TLS版本低于1.2时，会导致客户端在与Ingress-Nginx服务SSL版本协商时报错。

修改kube-system/nginx-configuration configmap添加以下配置，为Ingress-Nginx开启支持更多TLS版本的功能。具体操作，请参见TLS/HTTPS。

说明

Nginx Ingress Controller 1.7.0及以后版本，如要启用TLS v1.0与TLS v1.1，需要将@SECLEVEL=0添加到ssl-ciphers中。

ssl-ciphers: "ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:DHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA:ECDHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES256-SHA256:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:DES-CBC3-SHA"
ssl-protocols: "TLSv1 TLSv1.1 TLSv1.2 TLSv1.3"

Ingress L7请求头默认是透传的吗？

Ingress-Nginx默认透传客户端的请求头，有些不符合HTTP规则的请求头（例如Mobile Version），在转发到后端服务前会被过滤掉。为了不过滤掉这类请求头，您可以执行kubectl edit cm -n kube-system nginx-configuration命令在ConfigMap中添加配置。更多信息，请参见ConfigMap。

enable-underscores-in-headers: true

后端服务为HTTPS服务访问时是否可以通过Ingress-Nginx转发？

对于后端业务是HTTPS服务，但同样希望可以通过Ingress-Nginx转发时，执行以下命令，在Ingress资源配置中添加以下注解即可。

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: xxxx
  annotations:
    # 注意这里：必须指定后端服务为HTTPS服务。
    nginx.ingress.kubernetes.io/backend-protocol: "HTTPS"

Ingress L7透传客户端IP吗？

Ingress-Nginx默认会通过X-Forwarded-For和X-Real-IP来透传客户端IP，但是当客户端主动在请求头里指定了X-Forwarded-For和X-Real-IP时，会导致服务端无法获取到真实的客户端IP。

执行以下命令，开启kube-system/nginx-configuration configmap的以下配置可实现Ingress L7透传客户端IP。

compute-full-forwarded-for: "true"
forwarded-for-header: "X-Forwarded-For"
use-forwarded-headers: "true"

更多相关信息，请参见阿里云容器服务Ingress设置原IP透传。

Nginx Ingress Controller组件支持HSTS吗？

nginx-ingress-controller组件默认是开启HSTS的，有些浏览器第一次基于PLAIN HTTP访问时，服务端（开启HSTS）会在返回给客户端的响应头里携带Non-Authoritative-Reason: HSTS字段，说明服务端支持HSTS，当客户端也支持的情况下下次会直接以HTTPS方式访问服务端。服务端返回的响应头消息体中包含有307 Internal Redirect状态码，具体如下图所示。

当客户端不希望支持自动转到HTTPS访问服务端时，您可以关闭nginx-ingress-controller组件的HSTS。具体操作，请参见HSTS。

说明

在浏览器端HSTS默认是有缓存的，当关闭nginx-ingress-controller组件的HSTS后，请您清理缓存。

Ingress-Nginx支持哪些Rewrite配置？

目前Ingress-Nginx支持一些简单的Rewrite配置，具体请参见Rewrite。但是，对于一些高级的特别的Rewrite需求，您可以通过下面方式来配置。

configuration-snippet：请参见Configuration snippet，扩展一些配置到Location章节中。
server-snippet：请参见Server snippet，扩展一些配置到Server章节中。

同时，snippet也支持一些全局配置，具体如下图所示。更多相关信息，请参见main-snippet。

在ACK组件管理中升级Nginx Ingress Controller组件时，系统所做的更新是什么？

Nginx Ingress Controller组件在0.44之前的版本，包含以下资源：

serviceaccount/ingress-nginx
configmap/nginx-configuration
configmap/tcp-services
configmap/udp-services
clusterrole.rbac.authorization.k8s.io/ingress-nginx
clusterrolebinding.rbac.authorization.k8s.io/ingress-nginx
role.rbac.authorization.k8s.io/ingress-nginx
rolebinding.rbac.authorization.k8s.io/ingress-nginx
service/nginx-ingress-lb
deployment.apps/nginx-ingress-controller

Nginx Ingress Controller组件在0.44版本及其之后的版本，额外包含以下资源：

validatingwebhookconfiguration.admissionregistration.k8s.io/ingress-nginx-admission
service/ingress-nginx-controller-admission
serviceaccount/ingress-nginx-admission
clusterrole.rbac.authorization.k8s.io/ingress-nginx-admission
clusterrolebinding.rbac.authorization.k8s.io/ingress-nginx-admission
role.rbac.authorization.k8s.io/ingress-nginx-admission
rolebinding.rbac.authorization.k8s.io/ingress-nginx-admission
job.batch/ingress-nginx-admission-create
job.batch/ingress-nginx-admission-patch

在ACK的组件管理页面对Nginx Ingress Controller组件进行升级时，系统保留以下资源配置不变更：

configmap/nginx-configuration
configmap/tcp-services
configmap/udp-services
service/nginx-ingress-lb

所有其他资源的配置都会被覆盖成默认配置。以deployment.apps/nginx-ingress-controller资源配置为例，其默认的replicas参数为2。如果您升级Nginx Ingress Controller组件之前的replicas为5，但是通过组件管理升级Ingress后，其replicas将会为2，和默认配置一致。

如何将Ingress-nginx的监听由四层改为七层（HTTPS/HTTP）？

Ingress Pod的负载均衡默认是TCP 443 和TCP 80，您可以创建一个HTTPS/HTTP类型的负载均衡，将Ingress-nginx的监听由从四层改为七层。

说明

修改监听时服务会有短暂中断，建议在业务低谷期进行修改监听操作。

创建证书，并记录cert-id。具体操作，请参见选择阿里云签发证书。
通过Annotation将Ingress所用负载均衡的监听由四层改为七层。
1. 登录容器服务管理控制台，在左侧导航栏选择集群。
2. 在集群列表页面，单击目标集群名称，然后在左侧导航栏，选择网络 > 服务。
3. 在服务页面顶部设置命名空间为kube-system，单击ingress-nginx-lb右侧操作列下的查看YAML。
4. 在编辑YAML对话框中，将ports中443端口的targetPort改为80。
```
  - name: https
    port: 443
    protocol: TCP
    targetPort: 80 # 将443端口的targetPort改为80
```
  在annotations参数下添加以下内容，然后单击更新。
```
service.beta.kubernetes.io/alibaba-cloud-loadbalancer-protocol-port: "http:80,https:443"
service.beta.kubernetes.io/alibaba-cloud-loadbalancer-cert-id: "${YOUR_CERT_ID}"
```
结果验证。
1. 在服务页面单击ingress-nginx-lb右侧的监控信息。
2. 单击监听页签，可以看到监听的前端协议显示HTTP:80和HTTPS:443，说明通过Annotation将负载均衡的监听由四层改为七层成功。

应用市场部署的ack-ingress-nginx如何使用已有SLB？

登录容器服务管理控制台，在左侧导航栏选择市场 > 应用市场。
在应用目录页面搜索ack-ingress-nginx或ack-ingress-nginx-v1。
- 1.20以下集群选中ack-ingress-nginx。
- 1.20以上集群选中ack-ingress-nginx-v1。
部署Ingress Controller。详细信息，请参见部署多个Ingress Controller。
在部署过程中的参数页面，删除旧注解，添加新注解。
1. 删除controller.service.annotations下的所有注解。
2. 添加新的注解。
```
# 指定SLB
service.beta.kubernetes.io/alibaba-cloud-loadbalancer-id: "${YOUR_LOADBALANCER_ID}"
# 强制覆盖监听
service.beta.kubernetes.io/alibaba-cloud-loadbalancer-force-override-listeners: "true"
```
单击确定，继续部署。
部署成功后，配置对应的IngressClass，使用Ingress Controller。详细信息，请参见部署多个Ingress Controller。