Nginx Ingress Controller：host字段作用、配置差异及生产环境设置

带host与不带host的路由本质差异 #

两者的路由优先级和匹配逻辑有明确区分，不存在优劣属性，仅作用范围不同：

• 带host字段的规则为域名专属路由：只有请求携带的Host头值与配置的host完全匹配时，才会命中该组下的所有路径规则。Nginx Ingress会将这部分规则生成对应独立的虚拟主机配置（server块），仅对指定域名的请求生效。
• 不带host字段的规则为全局兜底路由：所有未匹配到任何专属host虚拟主机的请求，都会落到这组规则上，与请求携带的Host头值无关，属于无差别兜底的配置。

常见配置踩坑的根因 #

加host就返回404的问题定位 #

出现配置host后全量请求404、移除host就正常的现象，并非Ingress路由逻辑本身的问题，可按顺序排查：

• 域名解析链路未通：配置的host域名没有将A记录指向EKS Ingress对应的负载均衡公网IP，客户端请求的Host值和配置不匹配，Nginx找不到对应虚拟主机，直接返回默认404页面。
• 配置值不匹配：填写的host值存在前后空格、多余端口号、字符不兼容问题，导致和客户端请求携带的Host头无法精确匹配。
• 冗余配置干扰：当前配置中同时存在带host和不带host的两套完全相同的路径规则，会引发路由逻辑冗余——带host的规则优先级更高，只要Host头不匹配配置的myhost.info，哪怕路径完全正确，也不会命中带host的分支，最终落到兜底规则时如果存在集群内其他Ingress的路径冲突，就会返回404。

POST请求被转为GET的问题本质 #

不带host就出现POST转GET的现象，不是host配置本身导致的：这类请求方法篡改的根因是兜底路由和集群内其他Ingress规则发生路径冲突，请求被转发到了会返回301/302重定向的后端服务，而HTTP协议本身规定重定向请求会将POST方法自动转为GET，和此前社区描述的现象完全一致。

生产环境正确配置方式 #

Host字段配置规范 #

• 不要同时配置两套完全重复的带host/不带host规则，仅保留对应生产域名的专属路由规则即可，避免冗余配置引发的路由冲突。
• 配置host前先完成域名解析：将公共域名的DNS A记录指向EKS Ingress负载均衡的公网地址，等待解析全局生效后，再将域名填写到Ingress的host字段中。
• 测试阶段可以使用curl的--resolve参数本地绑定域名和Ingress IP，不用等待DNS全量生效即可验证路由逻辑，排除解析链路的干扰。

TLS证书配置流程 #

• 首先在集群内创建对应域名的TLS Secret，将公开证书ca.crt/tls.crt和私钥tls.key存储到Secret中。
• 在Ingress的spec段新增tls配置块，将对应域名加入tls.hosts列表，指定tlsSecretName为刚才创建的Secret名称，Ingress会自动为对应域名的虚拟主机开启HTTPS监听。
• 生产环境推荐搭配cert-manager实现证书的自动签发与续期，减少手动管理证书的失误概率。

内容的提问来源于stack exchange，提问作者Pablo Estrada