Higress 与 AWS ALB Ingress 控制器冲突问题解析

问题背景

在 AWS EKS 环境中部署 Higress 网关时，用户尝试通过 Higress Console UI 配置 AI 路由规则时遇到了创建失败的问题。错误信息显示 AWS ALB (Application Load Balancer) 的准入控制器(webhook)拦截了 Higress 创建的 Ingress 资源，导致配置无法完成。

错误现象

当用户通过 Higress Console 创建 AI 路由规则时，系统返回 500 错误，核心错误信息为：

failed calling webhook "vingress.elbv2.k8s.aws": failed to call webhook: Post "https://aws-load-balancer-webhook-service.kube-system.svc:443/validate-networking-v1-ingress?timeout=10s": EOF

进一步查看 AWS ALB 控制器的日志，可以发现存在空指针异常：

runtime error: invalid memory address or nil pointer dereference

问题根源分析

这个问题源于 AWS ALB Ingress 控制器和 Higress 控制器对 Ingress 资源的处理冲突：

1. AWS ALB 控制器的全局拦截：AWS ALB 控制器的 webhook 会验证集群中所有的 Ingress 资源，无论其指定的 ingressClassName 是什么。这是一种过于激进的设计。

2. 验证逻辑缺陷：AWS ALB 控制器的验证逻辑中存在空指针异常，当遇到不符合其预期的 Ingress 资源时，webhook 会崩溃而不是优雅地拒绝。

3. 版本兼容性问题：这个问题在 AWS ALB 控制器的较老版本中更为常见，新版本已经修复了相关缺陷。

解决方案

针对这个问题，有以下几种解决方案：

1. 升级 AWS ALB 控制器：将 AWS ALB Ingress 控制器升级到最新版本，新版本已经修复了空指针异常问题，并且对非 AWS ALB 相关的 Ingress 资源处理更加友好。

2. 调整 AWS ALB 控制器配置：如果无法立即升级，可以修改 AWS ALB 控制器的配置，使其忽略特定命名空间或特定 ingressClassName 的 Ingress 资源。

3. 禁用 AWS ALB 的验证 webhook：作为临时解决方案，可以暂时禁用 AWS ALB 的验证 webhook，但这会降低集群的安全性。

最佳实践建议

在 AWS EKS 环境中同时使用 Higress 和 AWS ALB 时，建议遵循以下最佳实践：

1. 明确职责划分：使用 AWS ALB 作为边缘负载均衡器，Higress 作为内部 API 网关，两者各司其职。

2. 版本控制：确保使用的 AWS ALB 控制器版本在 v2.4.0 或更高，这些版本对第三方 Ingress 控制器的兼容性更好。

3. 资源隔离：通过命名空间或标签将 Higress 管理的资源与 AWS ALB 管理的资源明确区分开来。

4. 监控验证：部署后验证两种控制器都能正常工作，且不会相互干扰。

总结

在 Kubernetes 环境中同时使用多个 Ingress 控制器时，控制器的相互干扰是一个常见问题。AWS ALB 控制器与 Higress 的冲突案例展示了准入控制器设计的重要性。通过升级组件版本、合理配置和明确架构边界，可以有效地解决这类问题，构建稳定可靠的云原生基础设施。