GKE中使用gce-internal Ingress类实现HTTP转HTTPS重定向方案咨询

由于GCP原生gce-internal Ingress暂不支持HTTP到HTTPS的自动重定向，以下是几种可落地的替代方案：

方案1：部署Nginx Ingress Controller作为内部Ingress #

• 先创建内部专属的Nginx Ingress Controller，自定义ingress.class标识（比如nginx-internal），确保控制器仅处理内部集群流量
• 在Ingress资源中通过注解配置强制重定向：

  apiVersion: networking.k8s.io/v1
  kind: Ingress
  metadata:
    annotations:
      nginx.ingress.kubernetes.io/force-ssl-redirect: "true"
      nginx.ingress.kubernetes.io/ssl-redirect: "true"
    name: internal-ssl-ingress
    namespace: your-namespace
  spec:
    ingressClassName: nginx-internal
    tls:
    - hosts:
      - your-internal-domain.example
      secretName: your-tls-secret
    rules:
    - host: your-internal-domain.example
      http:
        paths:
        - path: /
          pathType: Prefix
          backend:
            service:
              name: your-business-service
              port:
                number: 80
  

• 优势：完全基于K8s配置实现，无需额外GCP控制台操作，重定向逻辑可控

方案2：给内部负载均衡器添加前置重定向服务 #

• 部署一个轻量的重定向服务（如Nginx容器），专门处理HTTP请求的301跳转：

  server {
      listen 80;
      server_name your-internal-domain.example;
      return 301 https://$host$request_uri;
  }
  

• 在gce-internal Ingress中分别配置端口规则：
  • 80端口的所有路径指向重定向服务
  • 443端口的路径指向业务服务
• 注意：需保证重定向服务和业务服务在同一集群网络内，避免跨网络延迟

方案3：通过Cloud Armor策略实现重定向 #

• 创建Cloud Armor安全策略，添加规则匹配所有HTTP协议的请求，动作设置为REDIRECT，目标URL指定为对应的HTTPS地址
• 将该安全策略关联到gce-internal Ingress对应的后端服务
• 限制：需确保内部负载均衡器已开启Cloud Armor集成权限，且重定向目标URL需匹配内部域名的访问规则

内容的提问来源于stack exchange，提问作者Shivendra Singh