Kubernetes中ingress和service mesh的区别是什么？二者有何关系？

首先可以明确，Service Mesh不属于Ingress的一种类型，二者是定位完全不同的Kubernetes生态组件，具体说明如下：

• Ingress：Kubernetes原生的南北向流量接入资源，配套Ingress Controller实现外部流量到集群内部Service的七层路由，核心能力包括路径/域名分流、TLS证书卸载、简单的请求重写等，作用相当于集群的对外访问入口。
• Service Mesh（服务网格）：集群服务治理层面的基础设施，通过在每个业务Pod中注入Sidecar代理的方式，接管所有服务间的调用流量，把原本需要业务代码实现的重试、超时、限流、熔断、链路追踪、灰度发布、mTLS加密等能力下沉到基础设施层，业务代码无需做任何改造即可获得上述治理能力。

• 定位不同：Ingress的定位就是集群南北向流量的入口，仅负责外部流量接入；Service Mesh的核心定位是全链路流量治理，虽然很多Service Mesh实现（比如Istio）会自带Ingress Gateway组件承接南北向流量，可完全替代原生Ingress的能力，但这只是Service Mesh的能力子集，远不是全部。
• 流量覆盖范围不同：Ingress仅处理集群外部到内部服务的南北向流量；Service Mesh覆盖集群内服务间调用的东西向流量、集群入口的南北向流量、集群服务访问外部资源的出口流量，是全流量覆盖的治理层。
• 治理粒度不同：Ingress的治理规则最小维度一般到Service级别，只能做简单的入口层管控；Service Mesh可以做到请求级别的细粒度治理，比如根据请求头/用户标签做灰度分流、针对特定服务对的调用设置重试策略、对全链路请求做可观测性统计等。
• 部署架构不同：Ingress是中心化部署的代理集群，所有入口流量统一经过Ingress Controller转发；Service Mesh是分布式边车架构，每个业务Pod对应一个独立的Sidecar代理，东西向流量直接在两个服务的Sidecar之间转发，不需要经过中心节点，性能损耗更可控。

• 如果你只需要实现外部流量到内部服务的路由转发，选择Ingress即可满足需求
• 如果你需要服务间治理、灰度发布、全链路可观测、服务间加密等更复杂的能力，可以选择部署Service Mesh

内容的提问来源于stack exchange，提问作者Nin