一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！

一、引言

Nginx-ingress 是 Kubernetes 生态中的重要成员，主要负责向外暴露服务，同时提供负载均衡等附加功能；

截至目前，nginx-ingress 已经能够完成 7/4 层的代理功能（4 层代理基于 ConfigMap，感觉还有改进的空间）；

Nginx 的 7 层反向代理模式，可以简单用下图表示：

k8s ingress设置cookie 安全属性 k8s ingress nginx_运维

Nginx 对后端运行的服务（Service1、Service2）提供反向代理，在配置文件中配置了域名与后端服务 Endpoints 的对应关系。客户端通过使用 DNS 服务或者直接配置本地的 hosts 文件，将域名都映射到 Nginx 代理服务器。当客户端访问 service1.com 时，浏览器会把包含域名的请求发送给 nginx 服务器，nginx 服务器根据传来的域名，选择对应的 Service，这里就是选择 Service 1 后端服务，然后根据一定的负载均衡策略，选择 Service1 中的某个容器接收来自客户端的请求并作出响应。过程很简单，nginx 在整个过程中仿佛是一台根据域名进行请求转发的“路由器”，这也就是7层代理的整体工作流程了！

对于 Nginx 反向代理做了什么，我们已经大概了解了。在 k8s 系统中，后端服务的变化是十分频繁的，单纯依靠人工来更新nginx 的配置文件几乎不可能，nginx-ingress 由此应运而生。Nginx-ingress 通过监视 k8s 的资源状态变化实现对 nginx 配置文件的自动更新，下面本文就来分析下其工作原理。

二、nginx-ingress 工作流程分析

首先，上一张整体工作模式架构图（只关注配置同步更新）

k8s ingress设置cookie 安全属性 k8s ingress nginx_nginx_02

不考虑 nginx 状态收集等附件功能，nginx-ingress 模块在运行时主要包括三个主体：NginxController、Store、SyncQueue。其中，Store 主要负责从 kubernetes APIServer 收集运行时信息，感知各类资源（如 ingress、service等）的变化，并及时将更新事件消息（event）写入一个环形管道；SyncQueue 协程定期扫描 syncQueue 队列，发现有任务就执行更新操作，即借助 Store 完成最新运行数据的拉取，然后根据一定的规则产生新的 nginx 配置，（有些更新必须 reload，就本地写入新配置，执行 reload），然后执行动态更新操作，即构造 POST 数据，向本地 Nginx Lua 服务模块发送 post 请求，实现配置更新；NginxController 作为中间的联系者，监听 updateChannel，一旦收到配置更新事件，就向同步队列 syncQueue 里写入一个更新请求。

下边，我们就结合代码来分析一遍以上的流程：

首先，来到程序入口处，cmd/nginx/main.go

func main() {
	...
	ngx := controller.NewNGINXController(conf, mc, fs)
	...
	ngx.Start()
}

为了避免陷入，我们只关注最主要的代码。在 main 函数中，程序首先构造了 NginxController，并执行了其 Start 方法，启动了 Controller 主程序。

我们具体看下，ngx.Start() 到底做了什么，跟踪到 internal/ingress/controller/nginx.go#Start()

func (n *NGINXController) Start() {
	...
	n.store.Run(n.stopCh)
	...
	go n.syncQueue.Run(time.Second, n.stopCh)
	...
	for {
		select {
		...
		case event := <-n.updateCh.Out():
			if n.isShuttingDown {
				break
			}
			if evt, ok := event.(store.Event); ok {
				if evt.Type == store.ConfigurationEvent {
					n.syncQueue.EnqueueTask(task.GetDummyObject("configmap-change"))
					continue
				}
				n.syncQueue.EnqueueSkippableTask(evt.Obj)
			} 
		...
	}
}

可以看到，NginxController 首先启动了 Store 协程，然后启动了 syncQueue 协程，最后监听 updateCh，当收到事件后，经过简单判断就向 syncQueue 写入了一个 task。

再来看 Store 协程，跟踪到 internal/ingress/controller/store/store.go#Run()

func (s k8sStore) Run(stopCh chan struct{}) {
	s.informers.Run(stopCh)
	...
}

可以看到，继续调用了 informer 的 Run 方法，继续跟踪，还在这个文件，移步到 148 行左右

// Run initiates the synchronization of the informers against the API server.
func (i *Informer) Run(stopCh chan struct{}) {
	go i.Endpoint.Run(stopCh)
	go i.Service.Run(stopCh)
	go i.Secret.Run(stopCh)
	go i.ConfigMap.Run(stopCh)
	...
	go i.Ingress.Run(stopCh)
	...
}

我们不难发现，informer 的 Run 方法，会起更多的协程，去监听不同资源的变化，包括 Endpoint、Service、Secret、ConfigMap、Ingress。我们以 Ingress 为例，跟踪到其定义处，仍在这个文件，找到 New() 方法

// New creates a new object store to be used in the ingress controller
func New(... updateCh *channels.RingChannel ...) Storer {
	...
	store.informers.Ingress = infFactory.Extensions().V1beta1().Ingresses().Informer()
	...
	ingEventHandler := cache.ResourceEventHandlerFuncs{
		AddFunc: func(obj interface{}) {
			...
			updateCh.In() <- Event{
				Type: CreateEvent,
				Obj:  obj,
			}
		},
		DeleteFunc: func(obj interface{}) {
			...
			updateCh.In() <- Event{
				Type: DeleteEvent,
				Obj:  obj,
			}
		},
		UpdateFunc: func(old, cur interface{}) {
			...
			updateCh.In() <- Event{
				Type: UpdateEvent,
				Obj:  cur,
			}
		},
	}
	...
	store.informers.Ingress.AddEventHandler(ingEventHandler)
	...
}

可以看出，Ingress 协程定义了监听 ingress 信息的 informer 对象，并注册了相关事件的回调方法，在回调方法内向之前提到的 updateCh 写入了事件，进而也就达到了当资源变化时通知 Controller 主程向同步队列写入task的目的。

反过头来，看一下 syncQueue ，首先找到其定义，跟踪到 internal/ingress/controller/nginx.go#NewNGINXController()

// NewNGINXController creates a new NGINX Ingress controller.
func NewNGINXController(config *Configuration, mc metric.Collector, fs file.Filesystem) *NGINXController {
	...
	n.syncQueue = task.NewTaskQueue(n.syncIngress)
	...
}

不难发现，队列的创建是通过 task.NewTaskQueue() 完成的，而且传入了关键的处理函数 n.syncIngress

继续跟踪到 internal/task/queue.go#NewTaskQueue()

// NewTaskQueue creates a new task queue with the given sync function.
// The sync function is called for every element inserted into the queue.
func NewTaskQueue(syncFn func(interface{}) error) *Queue {
	return NewCustomTaskQueue(syncFn, nil)
}

// NewCustomTaskQueue ...
func NewCustomTaskQueue(syncFn func(interface{}) error, fn func(interface{}) (interface{}, error)) *Queue {
	q := &Queue{
		queue:      workqueue.NewRateLimitingQueue(workqueue.DefaultControllerRateLimiter()),
		sync:       syncFn,
		workerDone: make(chan bool),
		fn:         fn,
	}
	...
	return q
}

可以看出，传入的处理函数 n.syncIngress 被赋值给 Queue 的 sync 属性了。实际上，syncQueue 的执行就是在反复执行该方法以消费队列里的元素。Queue 的 Run 定义可以在本文件中找到：

// Run starts processing elements in the queue
func (t *Queue) Run(period time.Duration, stopCh <-chan struct{}) {
	wait.Until(t.worker, period, stopCh)
}

// worker processes work in the queue through sync.
func (t *Queue) worker() {
	for {
		key, quit := t.queue.Get()
		...
		if err := t.sync(key); err != nil {
			t.queue.AddRateLimited(Element{
				Key:       item.Key,
				Timestamp: time.Now().UnixNano(),
			})
		} else {
			t.queue.Forget(key)
			t.lastSync = ts
		}

		t.queue.Done(key)
	}
}

同步队列协程的主要工作就是定期取出队列里的元素，并利用传入的 n.syncIngress （即 t.sync(key)）方法处理队列里的元素。

n.syncIngress 方法的定义在 internal/ingress/controller/controller.go#syncIngress()

// syncIngress collects all the pieces required to assemble the NGINX
// configuration file and passes the resulting data structures to the backend
// (OnUpdate) when a reload is deemed necessary.
func (n *NGINXController) syncIngress(interface{}) error {

	// 获取最新配置信息
	....
	// 构造 nginx 配置
	pcfg := &ingress.Configuration{
		Backends:              upstreams,
		Servers:               servers,
		PassthroughBackends:   passUpstreams,
		BackendConfigChecksum: n.store.GetBackendConfiguration().Checksum,
	}
	...
	// 不能避免 reload，就执行 reload 更新配置
	if !n.IsDynamicConfigurationEnough(pcfg) {
		...
		err := n.OnUpdate(*pcfg)
		...
	}
	...
	// 动态更新配置
	err := wait.ExponentialBackoff(retry, func() (bool, error) {
		err := configureDynamically(pcfg, n.cfg.ListenPorts.Status, n.cfg.DynamicCertificatesEnabled)
		...
	})
	...
}


![]()