Kubernetes Ingress-NGINX 自定义端口配置指南

在 Kubernetes 集群中使用 Ingress-NGINX 控制器时，用户经常会遇到需要暴露非标准端口（如8081）的需求。本文将从技术实现角度深入解析 Ingress-NGINX 的端口配置机制，帮助用户正确配置自定义端口。

端口配置的基本原理

Ingress-NGINX 控制器默认只监听80(http)和443(https)两个标准端口。控制器内部通过配置NGINX服务器来转发这些端口的流量到后端服务。当用户尝试通过Helm chart的controller.service.ports配置自定义端口时，实际上并不会自动创建对应的监听器。

正确的自定义端口配置方法

要实现自定义端口的暴露，必须使用Ingress-NGINX专门提供的TCP/UDP端口转发功能。这需要在Helm values中配置以下两个关键参数：

1. tcp/udp配置：定义需要转发的端口号及其对应的后端服务
2. nodePorts配置：可选参数，用于固定NodePort端口号

示例配置如下：

controller:
  tcp:
    "8081": "default/example-service:8081"
  udp:
    "5353": "kube-system/kube-dns:53"
  service:
    nodePorts:
      tcp:
        8081: 30081
      udp:
        5353: 30053

实现机制解析

当配置了TCP/UDP端口后，Ingress-NGINX控制器会：

1. 在Service资源中创建对应的端口映射
2. 在NGINX配置中生成stream模块配置
3. 通过kube-proxy将流量路由到正确的后端服务

需要注意的是，TCP/UDP端口的转发是基于四层（传输层）的，与常规的七层（应用层）HTTP/HTTPS转发有本质区别。这意味着：

• 无法使用Ingress资源的路由规则
• 不能依赖HTTP头部的Host字段进行路由
• 需要直接通过端口号区分不同服务

常见问题排查

当自定义端口不工作时，建议检查以下方面：

1. 确认Helm values中是否正确配置了tcp/udp参数
2. 检查控制器Pod是否监听了目标端口（netstat -tulnp）
3. 验证Service资源是否暴露了目标端口
4. 确认后端服务在集群内可访问且运行正常

最佳实践建议

1. 对于HTTP服务，尽量使用标准的80/443端口配合Ingress路由规则
2. 为TCP/UDP服务使用30000-32767范围内的NodePort
3. 在生产环境中考虑使用LoadBalancer类型的Service
4. 为关键业务端口配置固定的nodePorts以避免端口变化

通过理解这些底层机制，用户可以更灵活地配置Ingress-NGINX控制器，满足各种自定义端口的需求。