如何在GKE中集成自定义Nginx Ingress Controller与L7 HTTP(S)负载均衡器

一、手动创建L7 LB指向NEG出现502的问题根源 #

手动绑定NEG到自定义L7 LB的思路本身没问题，但502错误基本是这几个细节没做好：

• 端口不匹配：Nginx Ingress Controller的Pod默认监听80/443端口，要是LB后端配置填了其他端口，直接就会连接失败。
• 健康检查配置错了：L7 LB的健康检查路径得和Nginx的一致，默认是/healthz，端口80，用HTTP协议。要是路径或端口不对，LB会判定后端不健康，返回502。
• 网络策略/防火墙拦了：集群的网络策略或者VPC防火墙规则，可能没允许LB所属的IP段访问Pod的80/443端口，导致连不通。
• NEG关联的Pod标签不对：如果NEG绑定的Pod标签和Nginx Ingress Controller的Pod标签不匹配，就会找不到可用后端，触发502。

二、更省心的方案：让Nginx Ingress自动生成L7 LB #

没必要手动折腾LB，改下Helm安装参数就能让Nginx Ingress直接创建L7类型的负载均衡器（以GKE为例，其他云厂商逻辑类似）：

1. 先卸载现有实例（要保留配置的话提前备份Ingress资源）：

   helm uninstall nginx-ingress -n ingress-nginx
   

2. 重新安装时指定L7 LB类型并启用NEG：

   helm install nginx-ingress ingress-nginx/ingress-nginx \
     --namespace ingress-nginx \
     --create-namespace \
     --set controller.service.type=LoadBalancer \
     --set controller.service.annotations."cloud\.google\.com/load-balancer-type"=External \
     --set controller.service.annotations."networking\.gke\.io/managed-certificates"=你的证书名称 \
     --set controller.service.annotations."cloud\.google\.com/neg"='{"exposed_ports":{"80":{},"443":{}}}'
   

   关键参数说明：
   • cloud.google.com/load-balancer-type=External：指定创建L7级别的外部负载均衡器（GKE环境）
   • networking.gke.io/managed-certificates：绑定你提前创建好的HTTPS证书
   • cloud.google.com/neg：启用NEG特性，让LB直接对接Pod，跳过NodePort环节
3. 验证安装结果：

   kubectl get svc -n ingress-nginx
   

   拿到输出里的EXTERNAL-IP，访问对应域名就能正常响应了。

三、坚持手动创建L7 LB的修正步骤 #

要是非得手动配置，把这几点改对就行：

• 确认NEG的后端端口是80或443，和Nginx Pod的监听端口完全一致。
• 把LB的健康检查路径设为/healthz，端口80，用HTTP协议。
• 检查VPC防火墙规则，放行LB源IP段到集群Pod 80/443端口的访问。
• 确保NEG关联的Pod标签是app.kubernetes.io/name=ingress-nginx和app.kubernetes.io/component=controller（Helm默认安装的标签）。

内容的提问来源于stack exchange，提问作者Shrus