nginx可作为k8s统一入口反向代理外网流量，核心是稳、可控、最小端口暴露；手动部署适合定制场景，ingress-nginx controller为生产首选，支持声明式路由、tls自动续期与安全增强。
直接用 Nginx 做反向代理把外网流量引入 K8s 内网，关键不是“能不能”，而是“怎么引得稳、管得住、不暴露多余端口”。核心思路是：让 Nginx 作为集群的统一入口，只暴露必要端口（通常是 80/443），所有后端服务通过内部 DNS 名（service.namespace.svc.cluster.local）被代理，避免 NodePort 泛滥和防火墙开孔。
明确角色：Nginx 是入口，不是 Ingress Controller
先划清边界——如果你只是手搭一个 Nginx Pod 来做代理，它就是个普通反向代理；而 Nginx Ingress Controller 是 Kubernetes 官方 Ingress API 的具体实现，自带自动监听 Ingress 资源、热重载配置、健康检查等能力。两者目标一致，但运维复杂度和扩展性差别很大：
- 手动部署 Nginx Deployment + Service：适合测试、小规模或特殊定制场景（比如需自定义 Lua 脚本、WAF 规则）
- 使用官方
ingress-nginxHelm Chart：生产环境首选，自动管理配置、证书、TLS 终止、限流等 - 别混用：不要一边自己写 nginx.conf，一边又部署 ingress-nginx controller，会造成路由冲突
手动部署 Nginx 反向代理（轻量可控）
适用于开发环境、隔离内网或对 Ingress 控制粒度要求极高的场景。三步落地：
-
1. 用 ConfigMap 挂载自定义配置：把
nginx.conf写成 ConfigMap，避免镜像打包，便于灰度更新。重点配置proxy_set_header传递真实客户端信息（X-Real-IP、X-Forwarded-For、X-Forwarded-Proto），否则后端服务拿不到原始请求头 -
2. Service 类型选 LoadBalancer 或 NodePort：云环境优先用
type: LoadBalancer，自动分配公网 IP；无云环境可用type: NodePort，再配前置 LB 或直接绑定宿主机 IP+端口（如hostNetwork: true，慎用） -
3. 后端地址必须用集群内 DNS：例如
proxy_pass http://my-app.default.svc.cluster.local:8080；绝对不用http://10.244.x.x这类 Pod IP（不稳定），也别用 NodePort 地址（绕过 service mesh）
推荐方案：部署 ingress-nginx Controller（生产就绪）
这是 Kubernetes 社区维护、广泛验证的标准路径，省心且功能完整：
-
Helm 一键安装：
helm install ingress-nginx ingress-nginx/ingress-nginx -n ingress-nginx --create-namespace。默认启用 LoadBalancer，云上自动获取公网 IP；本地可用--set controller.service.type=NodePort -
Ingress 资源驱动路由：不再改 nginx.conf，而是声明式写 Ingress YAML。例如匹配
app.example.com/api→ 转发到api-service的 8080 端口，controller 自动注入规则并 reload -
安全增强开箱即用：支持 TLS 自动续期（配合 cert-manager）、基于 Header/Path 的访问控制、速率限制（
nginx.ingress.kubernetes.io/rate-limit-注解）、WebSocket 透传等
安全与可观测性不能跳过
引流量进来，更要守住出口和路径：
-
最小权限暴露：Nginx Pod 的 Service 只暴露 80/443；禁用默认 default backend；关闭
server_tokens off;隐藏版本号 -
强制 HTTPS：在 Ingress 中加
nginx.ingress.kubernetes.io/force-ssl-redirect: "true"，或 Nginx 配置里用 301 跳转 -
日志要进集中平台：挂载 emptyDir 或 sidecar 收集 access.log/error.log；关键字段包括
$remote_addr、$request、$status、$upstream_addr -
监控指标别漏：ingress-nginx 默认暴露 Prometheus metrics（
/metrics），关注nginx_ingress_controller_requests_total、nginx_ingress_controller_upstream_latency_seconds
