Kubernetes Ingress-Nginx 代理协议配置实践与问题排查

前言

在Kubernetes集群中使用Ingress-Nginx控制器时，正确配置代理协议(Proxy Protocol)对于获取真实客户端IP至关重要。本文将深入探讨在AWS EKS环境中配置代理协议时遇到的典型问题及其解决方案。

环境配置

在AWS EKS环境中部署Ingress-Nginx控制器时，常见的配置包括：

1. 控制器版本：1.12.1
2. Kubernetes版本：1.31.6
3. 部署方式：通过Helm Chart 4.12.1部署
4. 服务类型：NLB(网络负载均衡器)

代理协议配置要点

正确配置方法

要使代理协议正常工作，需要同时配置以下两个方面：

1. 控制器配置：

controller:
  config:
    use-proxy-protocol: "true"

2. 服务注解：

controller:
  service:
    annotations:
      service.beta.kubernetes.io/aws-load-balancer-proxy-protocol: "*"
      service.beta.kubernetes.io/aws-load-balancer-backend-protocol: tcp

常见配置错误

1. SSL透传冲突：当启用代理协议时，不应同时启用SSL透传功能。这会导致协议解析冲突。

# 错误配置
controller:
  extraArgs:
    enable-ssl-passthrough: true  # 与proxy-protocol冲突

2. 注解缺失：仅配置控制器而不配置NLB的代理协议注解，会导致协议不匹配。

问题排查经验

1. 配置片段导致Ingress规则失效

在Ingress资源中使用configuration-snippet注解时，如果格式不正确，可能导致整个Ingress规则被静默忽略。例如：

nginx.ingress.kubernetes.io/configuration-snippet: |
  more_clear_headers "Server";

解决方案：

• 使用专用的more-clear-headers注解替代
• 或者通过ConfigMap设置server-tokens: "false"实现相同效果

2. 代理协议错误日志分析

当代理协议配置不正确时，日志中会出现类似错误：

broken header: "GET /nginx_status%7D%7D HTTP/1.1" while reading PROXY protocol

这表明控制器期望接收代理协议头，但实际收到的是普通HTTP请求。

3. 诊断工具使用

1. 集群内测试：

kubectl exec -it -n ingress-nginx [pod-name] -- curl -H 'Host: example.com' localhost

2. 网络连通性检查：

kubectl exec -it -n ingress-nginx [pod-name] -- nc -v -w2 [backend-ip] [port]

最佳实践建议

1. 分阶段验证：先验证基础Ingress功能，再启用代理协议
2. 日志级别调整：调试时可将日志级别设为debug
3. AWS特定配置：
   • 确保NLB的跨区负载均衡已启用
   • 正确配置健康检查参数
4. 版本兼容性：保持控制器版本与Helm Chart版本匹配

总结

在AWS EKS环境中配置Ingress-Nginx的代理协议需要特别注意AWS NLB的特殊性以及与控制器配置的协同工作。通过本文介绍的方法和排查经验，可以有效地解决常见的配置问题，确保客户端IP信息的正确传递。记住，配置变更后要留出足够时间让AWS资源完成更新，通常需要几分钟才能生效。