配置Nginx-Ingress的HTTP/HTTPS双协议访问遇到问题

我来帮你梳理下这个问题，看起来你在Ingress SSL终止配置上遇到了两个核心卡点：一是没法同时启用HTTP和HTTPS访问服务，二是纯HTTPS模式下登录请求出现异常。结合你提到的Ingress Controller、后端服务的部署架构，咱们一步步排查解决：

一、解决HTTP/HTTPS双协议同时支持的问题 #

要实现双协议访问，关键是Ingress资源要同时配置HTTP（80端口）和HTTPS（443端口）规则，并且正确关联TLS证书。

1. 正确配置Ingress资源 #

以下是支持双协议的Ingress示例配置（以Nginx Ingress Controller为例）：

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: app-ingress
  annotations:
    # 核心：关闭强制HTTPS重定向，允许HTTP直接访问
    nginx.ingress.kubernetes.io/ssl-redirect: "false"
    # 可选：传递协议头给后端，让后端知道客户端用的是HTTP还是HTTPS
    nginx.ingress.kubernetes.io/x-forwarded-proto: "$scheme"
spec:
  # 配置TLS证书，对应443端口的HTTPS访问
  tls:
  - hosts:
    - your-app-domain.com  # 替换成你的实际域名
    secretName: app-tls-secret  # 已创建的TLS Secret名称
  # 同时配置HTTP规则（80端口）
  rules:
  - host: your-app-domain.com
    http:
      paths:
      - path: /
        pathType: Prefix
        backend:
          service:
            name: your-backend-service  # 你的后端Service名称
            port:
              number: 80  # 后端Service的端口

注意：

• ssl-redirect设为"false"是允许HTTP直接访问的关键，如果设为"true"，所有HTTP请求都会被重定向到HTTPS，就无法同时用两种协议了。
• 确保你已经通过kubectl create secret tls app-tls-secret --cert=./tls.crt --key=./tls.key创建了有效的TLS Secret。

2. 检查Ingress Controller的Service端口配置 #

确认Ingress Controller的Service同时暴露了80和443端口，这样才能接收两种协议的请求：

apiVersion: v1
kind: Service
metadata:
  name: nginx-ingress-controller
spec:
  type: NodePort
  ports:
  - name: http
    port: 80
    targetPort: 80
    nodePort: 30080  # 可自定义NodePort
  - name: https
    port: 443
    targetPort: 443
    nodePort: 30443  # 可自定义NodePort
  selector:
    app: nginx-ingress-controller

如果Controller的Service只配置了一个端口，另一种协议的请求就无法被转发到Controller，自然无法访问。

二、解决HTTPS模式下登录请求异常的问题 #

你提到仅启用HTTPS时能访问应用但登录异常，常见原因集中在请求头传递、Cookie配置、后端重定向这几个方面：

1. 确保后端能获取正确的客户端协议 #

很多应用会根据客户端的协议（HTTP/HTTPS）生成登录后的重定向URL或资源链接，如果后端不知道客户端用的是HTTPS，可能会生成HTTP的链接，导致浏览器拦截混合内容，或者登录状态丢失。

解决方法：在Ingress注解中添加协议头传递配置（Nginx Ingress为例）：

nginx.ingress.kubernetes.io/configuration-snippet: |
  proxy_set_header X-Forwarded-Proto $scheme;

这个注解会把客户端实际使用的协议（HTTP/HTTPS）通过X-Forwarded-Proto头传递给后端，后端应用可以读取这个头来生成正确的链接。

2. 检查Cookie的Secure属性 #

如果登录用的Cookie没有设置Secure属性，在HTTPS环境下浏览器可能会拒绝保存或发送该Cookie，导致登录状态无法维持。

解决方法：

• 优先调整后端应用的Cookie配置，开启Secure属性；
• 如果无法修改后端，可以通过Ingress注解强制设置：

nginx.ingress.kubernetes.io/configuration-snippet: |
  proxy_cookie_path / "/; secure";

3. 排查后端重定向逻辑 #

如果登录成功后后端重定向到HTTP的URL，在HTTPS访问时会出现“混合内容”错误，浏览器会阻止该请求。你可以通过浏览器的开发者工具（Network标签）查看登录请求的响应，看是否有HTTP的重定向地址。

解决方法：修改后端应用的重定向逻辑，使用相对路径，或者根据X-Forwarded-Proto头生成对应的HTTPS地址。

4. 验证TLS证书有效性 #

如果使用自签名证书或域名不匹配的证书，浏览器会拦截请求，导致登录时的AJAX请求或表单提交失败。你可以用curl -v https://your-app-domain.com/login测试，看是否有证书相关的错误提示。

解决方法：使用域名匹配的有效证书（比如Let's Encrypt免费证书），或者在测试环境中让浏览器信任自签名证书。

总结步骤 #

1. 调整Ingress资源配置，同时包含TLS规则和HTTP规则，关闭强制HTTPS重定向；
2. 确认Ingress Controller的Service同时暴露80和443端口；
3. 为Ingress添加X-Forwarded-Proto头传递注解，确保后端能识别客户端协议；
4. 检查Cookie的Secure属性配置；
5. 排查后端重定向逻辑，避免生成HTTP地址。

内容的提问来源于stack exchange，提问作者lunatikz