Higress网关内网负载均衡配置实践指南

背景介绍

在云原生架构中，Higress作为阿里巴巴开源的云原生网关，默认部署时会自动创建公网负载均衡器(LB)以提供外部访问能力。然而在实际企业场景中，出于安全隔离和内部服务调用的需求，我们经常需要将网关服务配置为仅通过内网负载均衡暴露。

核心配置原理

Higress网关的网络暴露方式本质上是通过Kubernetes Service资源实现的，其网络行为由Service的annotations控制。在云服务商的环境中，这些annotations会被对应的cloud-controller-manager识别并创建相应的负载均衡资源。

内网LB配置方案

通过深入分析Higress的Helm chart配置结构，我们发现可以通过以下方式实现内网负载均衡配置：

1. 安装时配置：在初始安装Higress时，通过设置higress-core.gateway.service.annotations参数，添加云厂商特定的内网LB注解

2. 运行时修改：对于已部署的环境，可以直接修改Higress-gateway服务的annotations，添加如下典型配置：

   • 阿里云：service.beta.kubernetes.io/alibaba-cloud-loadbalancer-address-type: intranet
   • AWS：service.beta.kubernetes.io/aws-load-balancer-scheme: internal
   • Azure：service.beta.kubernetes.io/azure-load-balancer-internal: "true"

升级兼容性说明

经过实际验证，当通过Helm升级Higress时，只要不修改或覆盖原有的service配置，已存在的负载均衡配置（包括内网类型）将会被保留。这意味着：

1. 初始安装后手动修改为内网LB的方案是可行的
2. 后续版本升级不会改变现有的网络配置
3. 建议在values.yaml中显式声明LB配置以保证配置可追溯

最佳实践建议

1. 环境区分：在values.yaml中为不同环境（dev/test/prod）预设对应的网络配置
2. 配置版本化：将网络配置纳入版本控制系统管理
3. 安全加固：结合网络策略限制只允许特定CIDR访问内网LB
4. 监控配置：确保内网LB的监控指标能够被采集

技术实现细节

Higress网关的网络暴露实际上由多个Kubernetes资源协同完成：

1. Service资源定义LB的基本属性
2. IngressClass定义入口控制器行为
3. NetworkPolicy控制网络流量规则（如启用）

当云厂商的CCM(Cloud Controller Manager)监听到Service资源创建/更新时，会根据annotations的配置创建对应的负载均衡器。内网LB与公网LB的主要区别在于：

• 网络平面不同（VPC内网vs公网）
• 安全组/ACL策略不同
• 计费方式可能不同

总结

Higress网关提供了灵活的网络暴露方案，通过合理配置Service annotations可以轻松实现公网/内网负载均衡的切换。理解这一机制后，运维团队可以根据实际业务需求，在保证安全性的前提下灵活调整网关的网络拓扑结构。建议在生产环境中采用Infrastructure as Code的方式管理这些网络配置，以确保环境的一致性和可追溯性。