搜索结果: "ingress"

title: K8s 服务访问排查 — 从 Pod、Service 到 Ingress 十步工作流

tags: [kubernetes, troubleshooting, service, pod, ingress, networking, cni, dns]

# K8s 服务访问排查 — 从 Pod、Service 到 Ingress 十步工作流

> 记住口诀：**先 Pod 再 Svc，EP 不为空则网络通；Ingress 有问题先看日志，DNS 不通查 CoreDNS。**

### 场景三：通过 Ingress 访问

title: Service 与网络排障 — Endpoints / DNS / kube-proxy / CNI / NetworkPolicy / Ingress

tags: [kubernetes, troubleshooting, service, networking, ingress, cni, dns]

- Ingress

ingress:

## Ingress 故障

| 16 | 什么是 Ingress？ | 管理外部 HTTP/HTTPS 访问，支持域名/路径路由和 TLS 终止 | [[k8s-service-access-troubleshooting]] |

| 58 | 服务限流？ | Istio 限流 / Nginx Ingress 限流 / 应用层/资源限制 |

| 66 | 服务发现和负载均衡？ | DNS 服务发现 + ClusterIP/NodePort/LoadBalancer/Ingress 负载均衡 |

| [[k8s-service-access-troubleshooting]] | Service/Ingress/DNS/NetworkPolicy |

| [[k8s-load-balancing-deep-practice]] | K8s 负载均衡深度实践（Service/kube-proxy/IPVS/eBPF/Ingress/Service Mesh） |

> 关键词：Kubernetes、Service、Ingress、IPVS、eBPF、Service Mesh、conntrack、高并发、流量治理

客户端 -> DNS -> 外部负载均衡 -> Ingress/Gateway API -> NodePort/ClusterIP -> kube-proxy -> Endpoints -> Pod

- **Ingress**：基于 Host/Path 的 HTTP 路由，支持 TLS 终结

## Ingress Controller 选型

| 维度 | Nginx Ingress | Traefik | HAProxy Ingress | ALB Ingress（AWS） |

## Service 不通 / Ingress 502

### Ingress 502/504

| 连接被拒 | Ingress 规则 host/path 配错 | `kubectl describe ingress` |

| 502 但 Pod/Service 均正常 | 端口定义不一致：Ingress 数字端口 vs Service 命名端口 | 统一命名端口：`name: http` + `containerPort: 8080` 全链路一致 |

| Ingress 502/504 | 先查后端 Service Endpoints | 后端 Pod/超时 |

### 法则 7：Ingress 502，有时是端口定义根本没对上

很多 502 根因不是运行时问题，而是对象定义不一致：Ingress 写数字端口但 Service 用命名端口；Service targetPort 指向端口名但容器没有定义该名称；业务监听 8080 而 Service 转发到错误端口。特点是 **Pod Running、Service 存在，但 Ingress 到后端一直握不上**。

最省心做法是统一端口命名规范——容器端口、Service、Ingress 统一用命名端口：

**发布或流量切换后异常：** 是否刚发生 Deployment/ConfigMap/Secret/Ingress 变更？readinessProbe 是否过早放量？preStop 与优雅停机是否真的生效？客户端连接池是否仍复用旧连接？HPA 是否同时发生扩缩容震荡？

**服务调用异常：** DNS、Endpoints、Ingress/Service 端口映射是否一致？NetworkPolicy 是否拦住 DNS 或数据库流量？是否存在 Service Mesh 默认超时或重试放大？节点 conntrack 是否逼近上限？

### Ingress — 七层路由

kind: Ingress

**Ingress vs Service：**

- Ingress：L7 路由（HTTP/HTTPS），支持基于域名/路径的路由、SSL 终止

- 从 Pod 内直接访问 Service IP（绕过 Ingress 和 NodePort）

- Ingress Controller 是否 Running、日志是否有 502/503 错误

Ingress 有问题先看日志，DNS 不通查 CoreDNS。

| [[k8s-service-access-troubleshooting]] | 从 Pod→Service→Ingress 十步排查工作流 |

- [[k8s-load-balancing-deep-practice]] — Kubernetes 负载均衡深度实践：Service 数据面到生产级流量治理全链路（kube-proxy/IPVS/eBPF/Ingress/Service Mesh/conntrack）

- [[k8s-service-access-troubleshooting]] — K8s 服务访问排查十步工作流：Pod→Service→kube-proxy→CNI→Ingress→DNS→NetworkPolicy

- [[k8s-troubleshooting-quick-reference]] — K8s故障排查快速参考：黄金五步思维模型、Pod四种状态、Node NotReady、Service/Ingress 502、PVC Pending、CPU Throttling、故障决策树

- [[service-troubleshooting]] — Service 与网络排障：Endpoints / DNS / kube-proxy / CNI / NetworkPolicy / Ingress

云原生场景：K8S sysctl / 优雅停机 / Ingress-Nginx ConfigMap

### Ingress-Nginx ConfigMap

name: ingress-nginx-controller

**容易踩坑的点：** SSE 目标从吞吐优先变成低延迟 flush 优先，代理层缓冲（Nginx / Ingress / CDN）未关闭会导致"假流式"——AI token 20 秒后一次性到前端。

- **Ingress** — 使用 nginx-ingress 或 traefik，配置 `proxy-buffering: "false"` annotation

| SSE 返回完整响应而非流式 | proxy_buffering 未关闭 | 检查 Nginx/Ingress/CDN 配置 |

## [2026-05-11] ingest | K8s 服务访问不通？从 Pod 到 Ingress

- 本文系统讲解 Kubernetes 负载均衡从 Service 数据面到生产级流量治理的全链路方案，涵盖 kube-proxy（iptables/IPVS/eBPF）三种模式对比、Ingress Controller 选型、Service Mesh 影响分析、conntrack 高并发陷阱与止血方案、无损发布与灰度策略、跨可用区流量治理

| 2026-08-31 | ingest | K8s 故障排查实战：20 个生存法则（微信公众号「云上架构」） | 新建 raw/articles/2026-08-31-k8s-troubleshooting-20-survival-rules.md + concepts/kubernetes/k8s-troubleshooting-survival-rules.md（20 法则六维框架 + 5 分钟分诊法 + ConfigMap 滚动雪崩事故复盘 + 治理四阶段 + 排障检查清单）；增量合并 13 页：principles 分诊四连 / quick-ref CrashLoop 启动依赖 + Ingress 命名端口 / rolling-update 6.5 组合陷阱 / capacity HPA 排障 + stabilizationWindowSeconds / pending 资源碎片化 / storage FailedAttachVolume + WaitForFirstConsumer / jvm MaxRAMPercentage / pod-evicted emptyDir sizeLimit / container-networking NetworkPolicy 数据路径 / istio-canary istio-proxy 503 + 重试放大 / scheduling 刚性约束锁死 / configmap 热更新三问 / statefulset 删 Pod ≠ 换数据；index +1 页（Total 172→173） |

ingress:

ingress:

**支撑工具：** Istio / Linkerd（Service Mesh）、Argo Rollouts、Flagger、Nginx Ingress Canary

Ingress、SLB、Service Mesh（如 Istio）必须配置连接排空，等待旧 Pod 上的连接自然结束后再删除 Pod。否则旧 Pod 已退出但 LB 还在转发流量 → 502 报错。

ingress {

ingress {

- ingress: Ingress/入口

| [[k8s-service-access-troubleshooting]] | K8s Service/Ingress 网络排障十步工作流（6 层模型第 ⑥ 层深入） |

| [[service-troubleshooting]] | Service/Ingress 排障，Gateway API 排查 |

- [[k8s-service-access-troubleshooting]] — K8s 服务访问排查十步工作流：Pod→Service→kube-proxy→CNI→Ingress→DNS→NetworkPolicy

Istio Ingress Gateway — TLS 终止、WAF 对接、Header 注入、Region 内灰度路由。

| [[k8s-service-access-troubleshooting]] | 从 Pod→Service→Ingress 十步排查工作流 |

type = "ingress"