GKE切换gce类型Ingress Class时Nginx Annotation替代方案咨询

• large-client-header-buffers、proxy-buffer-size：Cloud HTTP(S)负载均衡（GCE Ingress的底层实现）未开放这两个参数的自定义配置权限，默认值可覆盖绝大多数常规业务场景。如果你的业务确实有特殊的大请求头需求，可在工作负载侧新增Nginx sidecar代理，在sidecar中配置对应的缓冲区参数即可。
• proxy-body-size：可通过关联GCE Ingress的BackendConfig资源配置请求体大小限制，在BackendConfig的spec.maxRequestBodyBytes字段填写26214400（即25MB），同时配置spec.exceededRequestBytesAction.rewriteAction.statusCode = 413即可实现和Nginx完全一致的请求体拦截效果。
• server-snippets的gzip配置：Cloud HTTP(S)负载均衡原生支持gzip内容压缩，直接在LB后端服务配置中开启即可，也可以直接在后端业务服务中配置gzip压缩，效果无差异。
• 响应头清除需求：GCE Ingress目前仅支持自定义新增请求/响应头，不支持删除默认响应头。该需求可下沉到后端业务服务侧实现，在应用返回响应时主动删除Server、X-Powered-By等不需要的响应头，也可通过统一的Nginx sidecar批量处理响应头的增删规则。

不需要迁移到GCE Ingress，直接在现有Nginx Ingress架构上即可对接Cloud Armor，有两种成熟方案可选：

• 方案一：在Nginx Ingress前端新增一层GCP外部HTTP(S)负载均衡，将Cloud Armor安全策略绑定到该LB上，再将LB的后端指向Nginx Ingress的Service地址。这种方案无需修改现有Nginx Ingress的任何配置，所有原有Annotation规则均可保留。
• 方案二：修改Nginx Ingress的Service配置，添加Annotation指定使用GCP的HTTP(S)负载均衡对外暴露，同时关联绑定了Cloud Armor策略的BackendConfig资源。该方案调整完成后，对外访问入口直接是GCP的HTTP(S) LB，可直接加载Cloud Armor规则，原有Nginx的所有配置完全不需要修改。

内容的提问来源于stack exchange，提问作者Kailash P