GKE ingress-nginx跨命名空间错误路由引发502/503/404 HTTP错误

根因定位 #

你遇到的跨命名空间路由混乱、Ingress关联其他命名空间Pod的问题，核心原因是多个命名空间的Ingress资源使用了完全相同的host配置，且路径规则完全一致（均为/前缀匹配）。

ingress-nginx控制器会监听集群内所有命名空间的Ingress资源，当多个Ingress指向同一个host时，控制器会尝试合并这些配置。但当路径规则完全重叠时，控制器无法区分不同环境的路由优先级，会将所有对应后端Service的Pod端点都加入到同一个Nginx upstream中，导致请求被随机分发到不同命名空间的Pod，甚至在新Ingress重载期间，新服务尚未就绪时返回502/503错误。

GKE控制台显示Ingress关联多个Pod，本质是控制器将同host下所有Ingress对应的后端端点都整合到了upstream里，并非你的Service跨命名空间关联了Pod。

验证确认 #

检查所有命名空间的Ingress配置，确认spec.rules[0].host字段是否完全一致——比如不同环境的${KUBE_DEPLOY_HOST}最终渲染为同一个域名，这是触发问题的关键。

解决方案 #

1. 拆分域名（推荐） #

给不同命名空间的环境分配独立子域名，避免host冲突：

• 主环境：api.master.example.com
• 开发环境：api.dev.example.com
  对应的Ingress配置修改host字段即可，这样每个Ingress的路由规则完全独立，控制器不会合并配置。

2. 路径区分 #

如果必须共用同一个域名，通过不同路径前缀区分环境：

• 主环境Ingress路径：/master/
• 开发环境Ingress路径：/dev/
  同时可以配合ingress-nginx的重写注解，将路径转发到服务的根路径：

annotations:
  nginx.ingress.kubernetes.io/rewrite-target: /$2

对应的路径配置：

paths:
- pathType: Prefix
  path: /master(/|$)(.*)

3. 控制器命名空间隔离 #

部署多个ingress-nginx控制器实例，每个实例通过--watch-namespace参数只监听特定命名空间，比如一个控制器负责主环境命名空间，另一个负责开发环境命名空间。这种方式彻底隔离不同环境的Ingress配置，避免合并冲突。

临时解决的原理 #

修改API名称/选择器后，不同环境的Service名字不同，Ingress指向的后端服务唯一，此时控制器即使合并同host的配置，也会因为后端服务不同而生成独立的upstream，暂时规避了路由混乱。但只要host冲突的问题没解决，后续Ingress重载时依然会出现相同问题。

内容的提问来源于stack exchange，提问作者NanoPish