Kubernetes ExternalName Service通过Ingress转发外部服务请求故障求助

核心问题拆解 #

你遇到的三个错误分别对应不同的配置缺失或协议/Host头不匹配问题，逐一解决如下：

1. 初始503 Service Unavailable错误 #

原因：ExternalName类型的Service必须配置ports字段，HAProxy需要明确知道转发的端口规则，否则无法识别后端服务的通信方式。
解决：你已经添加了端口配置，这一步是正确的，但后续的301循环是新的问题。

2. 301循环跳转问题 #

原因：

• 外部服务someapi.com收到请求时，识别到Host头是mytenant.com，不符合自身域名，因此返回301重定向到https://mytenant.com/health，导致Ingress反复转发形成循环。
• 同时，Ingress使用HTTPS，但转发到外部服务的80端口（HTTP），部分服务会强制将HTTP请求重定向到HTTPS，进一步加剧循环。

解决方案：修改Ingress配置，强制转发时替换Host头为外部服务域名，并确保协议匹配：

修正后的Service配置（针对HTTPS外部服务）

apiVersion: v1
kind: Service
metadata:
  name: external-service
spec:
  type: ExternalName
  externalName: someapi.com
  ports:
    - protocol: TCP
      port: 443
      targetPort: 443

修正后的Ingress配置（添加HAProxy注解）

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: custom-ingress
  annotations:
    kubernetes.io/ingress.class: haproxy
    # 转发时将Host头替换为外部服务域名
    haproxy.org/backend-server-hostname: "someapi.com"
    # 指定后端使用HTTPS协议通信
    haproxy.org/backend-protocol: "HTTPS"
    # （可选）如果外部服务用自签名证书，跳过证书验证（生产环境不建议）
    # haproxy.org/backend-ssl-verify: "none"
spec:
  tls:
    - hosts:
        - mytenant.com
      secretName: tenant-secret
  rules:
    - host: mytenant.com
      http:
        paths:
          - path: /
            pathType: Prefix
            backend:
              service:
                name: external-service
                port:
                  number: 443
          # 添加/api路径转发到集群内服务
          - path: /api
            pathType: Prefix
            backend:
              service:
                name: internal-api-service
                port:
                  number: 80

3. 443端口连接失败（REFUSED_STREAM） #

原因：之前直接改端口为443，但未告知HAProxy后端使用HTTPS协议，导致HAProxy用HTTP请求去连接外部服务的443端口，被拒绝。
解决：通过上述Ingress注解haproxy.org/backend-protocol: "HTTPS"指定后端协议为HTTPS，即可解决连接被拒绝的问题。

关键验证步骤 #

1. 执行curl -ikv https://mytenant.com/health，检查请求头中的Host是否被替换为someapi.com。
2. 确认外部服务someapi.com接受someapi.com作为Host头（直接访问https://someapi.com/health正常即可验证）。
3. 若仍有问题，检查HAProxy日志（kubectl logs <haproxy-ingress-pod> -n <ingress-namespace>），查看具体的转发错误信息。

内容的提问来源于stack exchange，提问作者Jayesh