Kubernetes中同一Entrypoint能否转发流量到两个服务端口？

可行性结论 #

完全可以实现，这也是Traefik这类Ingress控制器的标准使用场景。Traefik的Entrypoint本质是定义自身监听的外部端口，同一个Entrypoint下可以匹配N条不同的路由规则，将流量转发到不同的后端服务端口，不受后端服务数量、端口的限制。

常用实现方案 #

你可以通过以下两种常见路由规则区分两个后端服务：

• 基于域名区分：为两个服务分配不同的访问域名，两条路由规则都绑定同一个Entrypoint，分别匹配不同的Host头转发到对应Service
  示例IngressRoute配置片段：

  # 路由到8080对应Service
  apiVersion: traefik.containo.us/v1alpha1
  kind: IngressRoute
  metadata:
    name: app-8080
  spec:
    entryPoints:
      - websecure # 同一个Entrypoint
    routes:
    - match: Host(`app1.example.com`)
      kind: Rule
      services:
      - name: app-svc-8080
        port: 8080
  ---
  # 路由到8082对应Service
  apiVersion: traefik.containo.us/v1alpha1
  kind: IngressRoute
  metadata:
    name: app-8082
  spec:
    entryPoints:
      - websecure # 同一个Entrypoint
    routes:
    - match: Host(`app2.example.com`)
      kind: Rule
      services:
      - name: app-svc-8082
        port: 8082
  

• 基于路径前缀区分：两个服务使用同一个域名，通过不同的路径前缀匹配路由，按需配置StripPrefix等中间件处理路径重写即可。

适用场景与不推荐场景 #

常规场景推荐使用 #

绝大多数情况下，共用同一个Entrypoint是推荐的做法，能减少对外暴露的端口数量，降低安全暴露面，统一流量入口的治理策略（如统一TLS配置、全局速率限制等），运维成本更低。

以下场景不推荐共用Entrypoint #

• 两个服务安全等级差异较大：比如其中一个为内部管理后台，共用公网Entrypoint会提升未授权访问的风险，建议单独配置内部专用Entrypoint，配合IP白名单等访问控制策略
• 两个服务的全局流量治理规则冲突：比如其中一个服务要求兼容TLS 1.0旧版本，另一个要求强制TLS 1.3，共用Entrypoint无法满足差异化配置，需要拆分
• 合规要求强制不同业务走独立对外端口：按等保/行业合规要求执行即可

内容的提问来源于stack exchange，提问作者Maksim