使用Nginx Ingress的Kubernetes集群前需部署反向代理吗？

一、Ingress Controller能不能替代单独的Nginx反向代理 #

完全可以。Nginx Ingress Controller本身就是基于Nginx内核实现的反向代理，你在Docker时代用Nginx做的流量转发、路径匹配、SSL终止、负载均衡这些核心功能，它都能搞定。而且作为K8s原生组件，它能直接和集群内的Service、Ingress资源联动，配置更贴合K8s生态，比单独部署Nginx更省心。

二、怎么配置IP请求频率限制（实现自动封禁） #

Nginx Ingress Controller支持通过注解或ConfigMap来配置限流，达到IP封禁的效果：

1. 针对单个Ingress配置（注解方式） #

在你的Ingress YAML里添加几个注解即可，比如限制单IP每秒最多1次请求：

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: my-app-ingress
  annotations:
    # 限制单IP每秒最多1个请求
    nginx.ingress.kubernetes.io/limit-rps: "1"
    # 对应每分钟最多60个请求
    nginx.ingress.kubernetes.io/limit-rpm: "60"
    # 超过限制后返回的状态码
    nginx.ingress.kubernetes.io/limit-status-code: "429"
    # 基于客户端IP做限流判断
    nginx.ingress.kubernetes.io/limit-key: "$binary_remote_addr"
spec:
  rules:
  - host: my-app.com
    http:
      paths:
      - path: /
        pathType: Prefix
        backend:
          service:
            name: my-app-service
            port: {number: 80}

当某个IP超过阈值时，Nginx会自动暂时封禁该IP的请求，返回429状态码，无需手动维护封禁列表。

2. 全局所有Ingress统一配置（ConfigMap方式） #

如果要给所有Ingress服务统一设置限流规则，找到Ingress Controller对应的ConfigMap（通常在ingress-nginx命名空间，名称为nginx-ingress-controller），修改后重启Ingress Pod即可生效：

apiVersion: v1
kind: ConfigMap
metadata:
  name: nginx-ingress-controller
  namespace: ingress-nginx
data:
  limit-rps: "1"
  limit-rpm: "60"
  limit-status-code: "429"

三、Ingress前再加一层Nginx反向代理有没有必要 #

看你的实际场景判断：

• 没必要的情况：如果只是基础的流量转发、限流、SSL终止，Ingress Controller完全够用，加一层反而增加架构复杂度，多了一个需要维护的组件，还会产生额外性能损耗。
• 值得加的情况：
  • 不想让Ingress直接暴露到公网，需要外层Nginx做公网入口防护（比如复杂WAF规则、全局IP黑白名单、基础DDoS防护）；
  • 有多套K8s集群或者非K8s服务，需要通过外层Nginx做统一的流量调度；
  • 已有成熟的外层Nginx运维流程，不想改动现有架构，直接将流量转发到Ingress的NodePort或LoadBalancer端口。

如果没有以上特殊需求，直接用Ingress Controller作为流量入口即可。

内容的提问来源于stack exchange，提问作者pgossa