AWS EKS集群低成本对外暴露多个HTTP服务的解决方案咨询

你提到的第三种方案本身就是当前场景下成本最优的主流落地方向，只需要纠正一个认知误区就能直接使用，另外补充一个更低成本的轻量方案可选：

方案1：单公网ALB + Istio/Ingress 路由（生产级推荐） #

你之前对Ingress的认知存在误区：自动创建负载均衡的动作是Ingress Controller对应的LoadBalancer类型Service触发的，而非Ingress资源本身。只要你集群内仅部署1个公网入口的LoadBalancer Service（对应1个ALB实例），后续新增任意数量的路由规则都不会创建新的负载均衡，全程仅产生1个负载均衡的费用，完全符合成本要求。
具体配置要点：

• 集群预先安装AWS Load Balancer Controller，给Istio Ingress Gateway的Service添加指定注解，要求创建ALB（比传统CLB性价比更高），ALB自动部署在公有子网，安全组仅放通80/443公网入方向即可。
• 所有业务服务部署在私有子网，Service仅用ClusterIP类型，不需要对外暴露，节点安全组仅允许ALB的安全组访问对应服务端口，完全满足节点私有不对外的安全要求。
• 路由规则可以选择Istio的Gateway+VirtualService配置，或者原生Ingress资源配置，按域名或者请求路径匹配转发到不同后端服务，所有请求统一走ALB的公网DNS入口，不需要记忆多组IP端口。

方案2：单小型EC2反向代理（小流量/测试场景推荐） #

如果你的业务流量很小，还可以选择比ALB成本更低的方案，甚至符合AWS免费 tier 要求时几乎零成本：

• 启动1台最小规格的EC2实例（如t3.micro）部署在公有子网，绑定1个弹性公网IP，实例上部署Nginx/Traefik作为反向代理。
• 私有子网内的业务服务全部用ClusterIP类型Service，节点安全组仅允许这台EC2的私网IP访问服务端口，节点本身不会直接暴露在公网。
• 在反向代理上配置路由规则，按域名/路径转发到对应K8s服务的ClusterIP和端口即可，全程仅产生1台小型EC2和1个EIP的费用。

• 两种方案都建议配置统一的域名解析，把不同服务对应的子域名（如service1.example.com、service2.example.com）都解析到唯一的入口地址，按域名匹配路由的体验优于路径匹配，也能避免不同服务的路径冲突。
• 使用ALB方案时可以开启AWS WAF基础防护规则，在几乎无额外成本的前提下提升公网入口的安全性。
• 不要采用NodePort直接对外暴露节点的方案，除了运维成本极高外，还会导致节点直接暴露在公网，存在极大的安全风险。

内容的提问来源于stack exchange，提问作者rozek1997