Nginx Ingress Controller使用建议

Nginx Ingress Controller性能调优主要分为系统参数调优和Nginx参数调优：

• 系统参数调优：阿里云上的操作系统已经默认优化了一些常见参数，其他还需要调优的系统参数主要包括系统最大Backlog数和可用端口的最大范围。系统参数调优后可以保证Nginx处理高并发请求的能力，以及在连接后端时不会因为端口耗尽而失败。

• Nginx参数调优：

  • 调整单个Worker的最大连接数：Nginx参数主要可以调整单个Worker的最大连接数来保证Nginx Ingress Controller处理高并发请求的能力。

  • 增加连接超时时间：Nginx Ingress Controller与Nginx默认表现不同，会使用长连接对后端业务Pod发起请求，因此Nginx参数还需要增加连接超时时间来让单条连接能够处理更多的请求，减少连接创建时的开销。

  • 设置长连接超时时间：请您确保后端的业务长连接的超时时间不低于Nginx Ingress Controller的连接超时时间（ ACK集群中默认为900s）。

在Pod模板的容器配置中加入：

apiVersion: apps/v1
kind: Deployment
spec:
  template:
    spec:
      containers:
      - name: app
        lifecycle:
          # 配置preStop Hook，等待30秒后退出。
          # 需要容器中存在sleep命令。
          preStop:
            exec:
              command:
              - sleep
              - 30

Nginx Ingress Controller提供了基于SLS日志以及Prometheus的监控大盘，帮助您更好地了解业务的流量情况。

• SLS日志：

  • 创建集群时，如果您已经选中了启用日志组件及Ingress Dashboard，您就可以直接通过容器服务管理控制台网络 > 路由页面的Ingress概览中查看到基于SLS日志服务提供的大盘服务；您也可以直接在运维管理 > 日志中心查看到Nginx Ingress Controller产生的相关日志。具体操作，请参见Nginx Ingress访问日志分析与监控。

  • 如果您在创建时没有选中日志以及Ingress的相关选项，也可以手动配置日志收集组件和规则。具体操作，请参见Nginx Ingress访问日志分析与监控。关于监控的更多信息，请参见Ingress Dashboard监控。

• 阿里云Prometheus监控：阿里云Prometheus监控可以在创建集群时选择安装，或者在创建集群后通过运维管理 > Prometheus监控安装或查看。具体操作，请参见使用阿里云Prometheus监控。

  说明

  使用阿里云Prometheus监控时，请为集群中的Ingress资源添加host字段，否则在默认情况下，该Ingress的部分metrics将会缺失。您也可以通过在Nginx Ingress Controller的Deployment中修改controller启动参数，加入--metrics-per-host=false来解决该问题。

为了阻挡恶意请求，您可以在Web应用防火墙控制台或应用型负载均衡ALB控制台为集群Nginx Ingress Controller所使用的CLB开启WAF或透明WAF功能。在开启HTTPS端口上的WAF或透明WAF功能时，需要在控制台上配置所使用的证书。这种情况下，可能会出现以下问题：

• TLS请求会在WAF或透明WAF上进行截断，因此集群内通过Secret配置的证书将不会被暴露在公网出口上。

• 在集群内通过CLB IP或Service ClusterIP访问443端口可能不会经过WAF或透明WAF，导致证书返回错误。

• 在开启WAF或透明WAF的情况下，Nginx Ingress Controller将默认无法获得真实的客户端IP。您可以通过在ConfigMap中 ( 通过组件管理安装的Nginx Ingress Controller默认为kube-system命名空间下的nginx-configuration）添加以下内容，配置启用Nginx的Realip模块，使用X-Forwarded-For头作为真实客户端地址。

  use-forwarded-headers: "true" # 0.30.0及更旧版本使用该选项。
  enable-real-ip: "true" # 0.44.0及更新版本使用该选项。
  proxy-real-ip-cidr: <您从WAF获取到的回源IP段>

Nginx Ingress Controller默认使用HTTP协议连接到后端服务，但同时提供了对多种后端协议的支持，其中比较常用的协议有WebSocket、HTTPS和gRPC。关于支持的后端协议具体类型，请参见Backend Protocol。

• WebSocket：Nginx Ingress Controller提供了对WebSocket的原生支持，您不需要进行任何配置即可转发WebSocket连接。如果您有持续较长的WebSocket连接，可以通过Annotation适当地调整后端连接的超时时间，防止业务因为超时而断连。关于调整的具体操作，请参见Custom timeouts。

• HTTPS：针对使用HTTPS的后端服务，您可以在Ingress中添加nginx.ingress.kubernetes.io/backend-protocol:"HTTPS"的Annotation切换为HTTPS连接。

• gRPC：gRPC仅支持通过TLS端口访问。因此，请确保您的业务通过Nginx Ingress Controller访问gRPC服务时，使用的是加密的TLS端口。关于配置gRPC的具体操作，请参见在Nginx Ingress Controller后端部署gRPC服务。