Gateway API 核心組件與應用場景詳解

一、Gateway API 核心資源組件

1. GatewayClass（網關類）

• 作用：定義網關的實現類型，將 Gateway 與特定的控制器（如 Istio、Contour）綁定。
• 應用層級：集群級資源，由集群管理員創建和管理。
• 關鍵字段：
  • controllerName：指定實現網關的控制器（如 istio.io/gateway-controller）。
• 示例：
  yaml

   

   

  apiVersion: gateway.networking.k8s.io/v1
  kind: GatewayClass
  metadata:
    name: istio
  spec:
    controllerName: istio.io/gateway-controller
  

   

2. Gateway（網關）

• 作用：定義流量入口點（如端口、協議、TLS），是實際運行的網關實例。
• 應用層級：命名空間級資源，通常由平臺團隊部署。
• 關鍵字段：
  • gatewayClassName：引用 GatewayClass。
  • listeners：定義監聽的端口、協議和路由綁定規則。
• 示例：
  yaml

   

   

  apiVersion: gateway.networking.k8s.io/v1
  kind: Gateway
  metadata:
    name: bookinfo-gateway
  spec:
    gatewayClassName: istio
    listeners:
      - name: http
        port: 80
        protocol: HTTP
  

   

3. HTTPRoute/TCPRoute/UDPRoute/TLSRoute（路由規則）

• 作用：定義具體的流量匹配和轉發規則，綁定到 Gateway。
• 應用層級：命名空間級資源，由應用團隊部署。
• 關鍵字段：
  • parentRefs：引用要綁定的 Gateway。
  • matches：定義匹配條件（如路徑、Header、方法）。
  • backendRefs：指定轉發的目標服務。
• 示例（HTTPRoute）：
  yaml

   

   

  apiVersion: gateway.networking.k8s.io/v1
  kind: HTTPRoute
  metadata:
    name: bookinfo-route
  spec:
    parentRefs:
      - name: bookinfo-gateway
    rules:
      - matches:
          - path: { type: PathPrefix, value: /productpage }
        backendRefs:
          - name: productpage
            port: 9080
  

   

4. ReferenceGrant（引用授權）

• 作用：允許跨命名空間的路由引用（如不同命名空間的 Gateway 和 HTTPRoute）。
• 應用層級：命名空間級資源，用于解決跨命名空間訪問的權限問題。
• 示例：
  yaml

   

   

  apiVersion: gateway.networking.k8s.io/v1alpha2
  kind: ReferenceGrant
  metadata:
    name: allow-cross-namespace
    namespace: gateway-ns  # Gateway 所在命名空間
  spec:
    from:
      - group: gateway.networking.k8s.io
        kind: HTTPRoute
        namespace: apps-ns  # HTTPRoute 所在命名空間
    to:
      - group: ""
        kind: Service
  

   

二、組件間的關系與工作流程

客戶端請求 → GatewayClass（控制器） → Gateway（監聽配置） → HTTPRoute（匹配規則） → Service（后端服務）

1. 集群管理員創建 GatewayClass，指定使用的控制器（如 Istio）。
2. 平臺團隊部署 Gateway，引用特定的 GatewayClass，并配置監聽端口。
3. 應用團隊創建 HTTPRoute，綁定到 Gateway，并定義流量轉發規則。
4. 可選：如果 HTTPRoute 和 Gateway 不在同一命名空間，需創建 ReferenceGrant 授權。

三、應用場景與最佳實踐

1. 基礎流量路由

• 場景：將不同路徑的請求轉發到不同服務。
• 配置：使用 HTTPRoute 的 matches 和 backendRefs。
• 示例：
  yaml

   

   

  rules:
    - matches:
        - path: { type: PathPrefix, value: /api/v1 }
      backendRefs:
        - name: api-service
          port: 8080
    - matches:
        - path: { type: PathPrefix, value: /web }
      backendRefs:
        - name: web-service
          port: 80
  

   

2. 流量拆分（A/B 測試、灰度發布）

• 場景：按比例將流量分發到不同版本的服務。
• 配置：使用 backendRefs 的 weight 字段。
• 示例：
  yaml

   

   

  backendRefs:
    - name: service-v1
      port: 8080
      weight: 90  # 90% 流量到 v1
    - name: service-v2
      port: 8080
      weight: 10  # 10% 流量到 v2
  

   

3. 基于 Header 的路由

• 場景：根據請求 Header 分發流量（如用戶分組）。
• 配置：使用 matches.headers。
• 示例：
  yaml

   

   

  matches:
    - headers:
        - name: user-group
          value: beta
      path:
        type: PathPrefix
        value: /
  

   

4. TLS 終止與加密

• 場景：在網關層處理 HTTPS 請求。
• 配置：在 Gateway 的 listeners 中添加 TLS 配置。
• 示例：
  yaml

   

   

  listeners:
    - name: https
      port: 443
      protocol: HTTPS
      tls:
        certificateRefs:
          - kind: Secret
            name: tls-cert
  

   

5. 跨命名空間路由

• 場景：不同命名空間的服務需要通過同一網關暴露。
• 配置：使用 ReferenceGrant 授權跨命名空間引用。
• 示例：
  yaml

   

   

  # 在網關命名空間創建 ReferenceGrant
  spec:
    from:
      - group: gateway.networking.k8s.io
        kind: HTTPRoute
        namespace: apps-ns
    to:
      - group: ""
        kind: Service
  

   

四、與傳統 Ingress 的對比

五、生產環境部署建議

1. 權限分離：
   • 集群管理員管理 GatewayClass
   • 平臺團隊部署和維護 Gateway
   • 應用團隊創建和管理 Route
2. 漸進式遷移：
   • 在現有 Ingress 基礎上逐步引入 Gateway API
   • 使用雙網關共存進行測試
3. 監控與日志：
   • 配置 Gateway API 資源的狀態監控
   • 收集 Envoy 或其他網關控制器的訪問日志
4. 安全加固：
   • 限制 Route 只能引用授權的 Service
   • 使用 TLS 加密所有外部流量

六、主流實現與支持情況

• Istio：從 1.18 版本開始支持 Gateway API，逐步替代自定義資源。
• Contour：完全支持 Gateway API。
• NGINX：通過 Gateway API 控制器提供支持。
• Traefik：開發中，計劃支持。

總結

kubectl apply -f https://github.com/kubernetes-sigs/gateway-api/releases/download/v1.0.0/standard-install.yaml

kubectl get crd | grep gateway
# 應看到 gatewayclasses、gateways、httproutes 等資源

apiVersion: gateway.networking.k8s.io/v1
kind: HTTPRoute
metadata:
  name: traffic-split
spec:
  parentRefs:
  - name: nginx-gateway  # 引用NGINX Gateway
  rules:
  - matches:
    - path:
        type: PathPrefix
        value: /
    backendRefs:
    - name: service-v1
      port: 80
      weight: 90  # 90%流量到v1版本
    - name: service-v2
      port: 80
      weight: 10  # 10%流量到v2版本