Kubernetes Ingress-NGINX 版本升级导致404错误的排查与解决

问题背景

在Kubernetes集群中使用Ingress-NGINX作为入口控制器时，从1.12.0版本升级到1.12.1版本后，部分用户报告其网站出现了404 Not Found错误。这个问题特别出现在那些使用了特定注解或路径配置的Ingress资源中。

问题分析

经过深入分析，发现该问题主要由两个潜在原因引起：

1. 注解风险级别变更：1.12.1版本引入了更严格的注解风险控制机制。默认情况下，某些被认为具有潜在风险的注解（如configuration-snippet和server-snippet）会被阻止，除非显式设置annotations-risk-level: "Critical"或annotations-risk-level: "High"。

2. 路径正则表达式问题：部分用户在Ingress资源配置中使用了类似/example/?(.*)的正则表达式路径模式，这种语法在新版本中可能导致路由匹配失败。

解决方案

针对注解风险问题

1. 在Ingress-NGINX控制器的ConfigMap中添加以下配置：

data:
  allow-snippet-annotations: "true"
  annotations-risk-level: "Critical"  # 或"High"取决于实际需求

2. 对于生产环境，建议评估是否真的需要使用高风险注解，考虑使用更安全的替代方案。

针对路径匹配问题

1. 检查并简化Ingress资源中的路径匹配规则：

paths:
  - path: /example/
    pathType: Prefix

2. 避免在路径中使用复杂的正则表达式，除非确实必要。

版本兼容性建议

1. 在升级前，建议在测试环境中验证所有Ingress资源配置。
2. 查阅新版本的变更日志，了解可能影响现有配置的变更。
3. 考虑使用金丝雀发布策略逐步升级Ingress控制器。

最佳实践

1. 最小权限原则：只启用确实需要的注解功能。
2. 配置审查：定期审查Ingress资源配置，移除不必要的复杂规则。
3. 监控报警：设置适当的监控，以便快速发现和响应路由问题。
4. 文档记录：记录所有自定义配置及其原因，便于后续维护。

总结

Kubernetes Ingress-NGINX 1.12.1版本引入了更严格的安全控制，这可能导致之前能正常工作的配置在新版本中出现问题。通过合理调整风险级别设置和简化路径匹配规则，可以解决大多数404错误问题。建议用户在升级前充分测试，并遵循最小权限原则进行配置。