gRPC Nginx Ingress是否必须启用TLS？求助.NET客户端无TLS配置

gRPC的Nginx Ingress并非必须依赖TLS运行，官方示例默认启用TLS是出于安全考量，无TLS场景下只需调整Ingress配置和.NET客户端设置即可正常工作。

一、修改Nginx Ingress资源配置 #

需要确保Ingress启用gRPC支持、关闭SSL重定向，并强制HTTP/2（gRPC依赖HTTP/2）。以下是完整的Ingress YAML示例：

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: grpc-non-tls-ingress
  annotations:
    # 告知Nginx后端使用gRPC协议
    nginx.ingress.kubernetes.io/backend-protocol: "GRPC"
    # 启用HTTP/2预加载，确保gRPC流量正常传输
    nginx.ingress.kubernetes.io/http2-push-preload: "true"
    # 禁用HTTPS重定向，避免自动跳转到TLS连接
    nginx.ingress.kubernetes.io/ssl-redirect: "false"
spec:
  ingressClassName: nginx
  rules:
  - host: grpc-demo.local # 替换为你的服务域名或Ingress节点IP
    http:
      paths:
      - path: /your.package.GrpcService/ # 替换为你的gRPC服务全限定名前缀
        pathType: Prefix
        backend:
          service:
            name: grpc-server-svc # 替换为你的gRPC服务K8s Service名称
            port:
              number: 50051 # 替换为gRPC服务监听的端口

注意：如果不使用域名，可直接用Ingress Controller的节点IP，此时host字段可以省略，或者设为IP地址。

二、配置.NET gRPC客户端 #

.NET gRPC客户端默认会尝试使用TLS连接，因此需要显式指定HTTP协议并禁用TLS验证（仅用于非生产环境）：

using Grpc.Core;
using YourGrpcNamespace;

// 创建禁用SSL验证的HttpClientHandler（测试环境用）
var httpHandler = new HttpClientHandler
{
    ServerCertificateCustomValidationCallback = 
        HttpClientHandler.DangerousAcceptAnyServerCertificateValidator
};

// 初始化gRPC通道，指定HTTP地址
var channel = GrpcChannel.ForAddress("http://grpc-demo.local:80", new GrpcChannelOptions
{
    HttpClient = new HttpClient(httpHandler)
});

// 创建gRPC客户端并调用方法
var client = new YourGrpcService.YourGrpcServiceClient(channel);
var request = new YourGrpcRequest { /* 请求参数 */ };
var response = await client.YourGrpcMethodAsync(request);

Console.WriteLine($"Response: {response.Result}");

如果是完全可信的内部环境，也可以简化为直接使用HTTP地址，无需额外配置验证：

var channel = GrpcChannel.ForAddress("http://192.168.1.100:30080"); // 替换为Ingress的IP和端口
var client = new YourGrpcService.YourGrpcServiceClient(channel);

三、重要注意事项 #

• 生产环境禁止无TLS：明文传输会导致数据泄露风险，仅建议在测试或内部可信网络中使用无TLS方案。
• 确认Ingress Controller版本：确保使用的ingress-nginx版本支持HTTP/2（v0.29.0及以上版本默认支持）。
• 网络连通性：客户端需能访问Ingress的IP/端口，检查防火墙、NodePort/LoadBalancer配置是否正确。

内容的提问来源于stack exchange，提问作者kittur_riyaz