Kubernetes Ingress 网关选型与性能调优实战：从 Nginx Ingress 到 Envoy 与 Traefik

一、背景：Ingress 是流量治理的第一道关

在 Kubernetes 集群中，Ingress 网关承担 TLS 终止、域名路由、负载均衡和灰度发布等职责。随着服务数量增长，网关的吞吐、延迟和可观测性会直接影响业务稳定性。本文从架构模型、性能指标和生产调优三个维度，对 Nginx Ingress、Envoy Gateway 与 Traefik 进行对比。

二、三类网关的架构取舍

1. Nginx Ingress

Nginx Ingress 生态成熟、配置简单，适合传统 HTTP/HTTPS 路由。它基于 Nginx worker 模型，静态配置和缓存场景性能稳定；复杂动态路由、细粒度流量治理则需要更多注解，配置可维护性要重点关注。

2. Envoy Gateway

Envoy 采用高性能事件驱动架构，原生支持 HTTP/2、gRPC、熔断、重试和丰富的遥测能力。Envoy Gateway 通过 Gateway API 管理路由，更适合多团队共享集群以及需要统一策略治理的平台。

3. Traefik

Traefik 自动发现 Kubernetes Service，动态配置体验优秀，适合中小规模集群和快速迭代的团队。若流量规模较大，应结合资源限制、连接池和访问日志采样进行压测验证。

三、性能调优清单

1. 为网关设置 requests/limits，并根据 P95/P99 延迟和 CPU throttling 调整副本数。
2. 开启 keep-alive，合理配置 upstream 连接池、超时和重试次数，避免重试风暴。
3. 启用 HPA 时同时观察请求速率与 CPU，必要时使用自定义指标扩缩容。
4. TLS 场景优先复用连接，证书轮换通过自动化控制器完成。
5. 生产环境采用 access log 采样，并接入 Prometheus、OpenTelemetry 与链路追踪。

四、灰度发布示例

使用 Gateway API 可以将一部分流量切到新版本服务：

apiVersion: gateway.networking.k8s.io/v1
kind: HTTPRoute
metadata:
  name: demo-route
spec:
  parentRefs:
  - name: public-gateway
  rules:
  - backendRefs:
    - name: app-v1
      port: 8080
      weight: 90
    - name: app-v2
      port: 8080
      weight: 10

五、结语

选型不应只看单点吞吐：Nginx Ingress 胜在成熟稳定，Envoy Gateway 适合平台化治理，Traefik 强于动态发现与易用性。建议先用真实流量模型压测，再结合团队运维能力、协议需求和可观测性要求做最终决策。