Kubernetes集群Nginx反向代理WebSocket转发异常问题排查咨询

现有配置存在的问题 #

• Nginx配置重复定义WebSocket相关头：同一个location块内重复写入了两次proxy_http_version、proxy_set_header Upgrade、proxy_set_header Connection配置，多次定义会导致头信息冲突，同时手动硬编码proxy_set_header Upgrade websocket会覆盖$http_upgrade变量的正常取值，不符合WebSocket协商规范。
• Ingress配置存在语法和逻辑错误：nginx.org/websocket-services注解缩进错误没有生效，且该注解指向messenger服务但Ingress实际后端是你自行部署的Nginx服务，注解不匹配；此外Ingress规则中host字段单独成条，未和后续http规则绑定，会导致域名匹配异常。

修复步骤 #

1. 修正Nginx反向代理配置 #

删除重复配置，保留标准WebSocket代理逻辑：

server {  
    listen *:80;
    server_name MYDOMAIN.NAME;
    location / {
        proxy_pass http://messenger:8082/;
        proxy_http_version 1.1;
        # 标准WebSocket协商头配置
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "upgrade";
        # 超时配置保留
        proxy_connect_timeout 3600s;
        proxy_read_timeout 3600s;
        proxy_send_timeout 3600s;
        send_timeout 3600s;
        # 补充必要的透传头，避免后端服务校验失败
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    }
}

2. 修正Ingress配置 #

调整缩进、绑定域名规则，为Ingress层配置WebSocket长连接超时参数：

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: ingress
  annotations:
    # 修正注解缩进，添加Ingress层WebSocket适配配置
    nginx.ingress.kubernetes.io/proxy-read-timeout: "3600"
    nginx.ingress.kubernetes.io/proxy-send-timeout: "3600"
    nginx.ingress.kubernetes.io/upgrade: "websocket"
spec:
  ingressClassName: nginx
  rules:
  # 绑定host和http规则，避免匹配异常
  - host: "my-inginx-domain"
    http:
      paths:
      - path: /
        pathType: Prefix
        backend:
          service:
            name: nginx
            port:
              number: 80

3. 补充排查点 #

• 确认自行部署的Nginx和messenger服务处于同一命名空间，若不在同一命名空间，proxy_pass地址需要改为http://messenger.对应命名空间.svc.cluster.local:8082/
• 进入Nginx Pod内使用wscat等工具直接测试messenger服务连通性，排除服务间网络不通的问题
• 若无特殊需求可以直接把Ingress后端指向messenger服务，去掉中间Nginx转发层，减少故障点

内容的提问来源于stack exchange，提问作者just Kirill