Kubernetes Gateway API 实战指南：从原理到部署

本教程以 Envoy Gateway 为例，Gateway API 允许同时安装多个控制器。

3.3 安装 CRDs

执行以下命令安装最新稳定版 Gateway API CRDs：

kubectl apply --server-side -f https://github.com/kubernetes-sigs/gateway-api/releases/download/v1.4.1/standard-install.yaml

验证安装是否成功：

kubectl get crd | grep networking.k8s.io
# 或具体验证关键 CRD
kubectl get crd gateways.gateway.networking.k8s.io httproutes.gateway.networking.k8s.io gatewayclasses.gateway.networking.k8s.io

3.4 安装 Envoy Gateway 控制器

使用 Helm 安装：

helm install eg oci://docker.io/envoyproxy/gateway-helm --version v1.7.0 -n envoy-gateway-system --create-namespace
kubectl wait --timeout=5m -n envoy-gateway-system deployment/envoy-gateway --for=condition=Available

3.5 安装 MetalLB（用于裸机测试）

若测试环境无 LB 地址，需安装 MetalLB 模拟负载均衡。

修改 kube-proxy 配置

启用 strictARP 以防止 ARP 冲突：

apiVersion: kubeproxy.config.k8s.io/v1alpha1
kind: KubeProxyConfiguration
mode: "ipvs"
ipvs:
  strictARP: true

应用后重启服务：

systemctl restart kube-proxy.service
# 或对于 kubeadm
kubectl patch daemonset kube-proxy -n kube-system -p='{"spec":{"template":{"metadata":{"annotations":{"date":"$(date +'%s')"}}}}}'

部署 MetalLB

kubectl apply -f https://raw.githubusercontent.com/metallb/metallb/v0.15.3/config/manifests/metallb-native.yaml

配置 IP 池

创建 metallb-config.yaml 并应用：

apiVersion: metallb.io/v1beta1
kind: IPAddressPool
metadata:
  name: public-ip-pool
  namespace: metallb-system
spec:
  addresses:
  - 192.168.1.100/32
---
apiVersion: metallb.io/v1beta1
kind: L2Advertisement
metadata:
  name: public-ip-advertisement
  namespace: metallb-system
spec:
  ipAddressPools:
  - public-ip-pool

四、使用 Gateway API

4.1 基本概念

• GatewayClass：定义网关类型模板（类似 StorageClass）。
• Gateway：实际的网关实例，管理流量入口。
• HTTPRoute：定义 HTTP/HTTPS 流量的路由规则。
• TCPRoute/UDPRoute：定义 TCP/UDP 流量的路由规则。

4.2 示例：创建基本的 HTTP 路由

1. 创建 GatewayClass

这是集群级资源，指定使用的控制器。

apiVersion: gateway.networking.k8s.io/v1
kind: GatewayClass
metadata:
  name: eg
spec:
  controllerName: gateway.envoyproxy.io/gatewayclass-controller

2. 创建 Gateway

命名空间级资源，定义监听器。

apiVersion: gateway.networking.k8s.io/v1
kind: Gateway
metadata:
  name: eg
  namespace: demo01
spec:
  gatewayClassName: eg
  addresses:
  - type: IPAddress
    value: 192.168.1.100
  listeners:
  - name: http
    protocol: HTTP
    port: 80
    allowedRoutes:
      namespaces:
        from: All

3. 创建后端应用

准备一个简单的 Service 和 Deployment。

apiVersion: v1
kind: Service
metadata:
  name: backend
  namespace: demo01
spec:
  ports:
  - name: http
    port: 3000
    targetPort: 3000
  selector:
    app: backend
---
apiVersion: apps/v1
kind: Deployment
metadata:
  name: backend
  namespace: demo01
spec:
  replicas: 1
  selector:
    matchLabels:
      app: backend
  template:
    metadata:
      labels:
        app: backend
    spec:
      containers:
      - image: gcr.io/k8s-staging-gateway-api/echo-basic:v20231214-v1.0.0-140-gf544a46e
        name: backend
        ports:
        - containerPort: 3000

4. 创建 HTTPRoute

将请求路由到后端服务。

apiVersion: gateway.networking.k8s.io/v1
kind: HTTPRoute
metadata:
  name: backend
  namespace: demo01
spec:
  parentRefs:
  - name: eg
    namespace: demo01
  hostnames:
  - "gateway.demo.cn"
  rules:
  - backendRefs:
    - name: backend
      port: 3000
    matches:
    - path:
        type: PathPrefix
        value: /

配置完成后，将域名解析指向 Gateway 的 IP 即可访问。

4.3 配置 HTTPS 访问

启用 HTTPS 需要证书 Secret 和 TLS 配置。

1. 创建 Secret

kubectl create secret tls example-cert \
  --cert=example.com.crt \
  --key=example.com.key \
  -n envoy-gateway-system

2. 配置 Gateway Listener

apiVersion: gateway.networking.k8s.io/v1
kind: Gateway
metadata:
  name: my-gateway
  namespace: envoy-gateway-system
spec:
  gatewayClassName: envoy-gateway
  listeners:
  - name: https
    protocol: HTTPS
    port: 443
    tls:
      mode: Terminate
      certificateRefs:
      - kind: Secret
        name: example-cert
    allowedRoutes:
      namespaces:
        from: All

五、跨命名空间配置

生产环境中，通常由基础设施团队维护共享 Gateway，业务方通过 HTTPRoute 引用。

5.1 允许跨 Namespace 绑定

在 Gateway 中设置 allowedRoutes.namespaces.from: All。

5.2 ReferenceGrant 授权

如果 HTTPRoute 需要引用其他命名空间的 Service 或 Secret，必须在该目标命名空间创建 ReferenceGrant。

例如，demo01 的 Route 引用 demo02 的 Service：

apiVersion: gateway.networking.k8s.io/v1beta1
kind: ReferenceGrant
metadata:
  name: allow-frontend-to-backend
  namespace: demo02
spec:
  from:
  - group: gateway.networking.k8s.io
    kind: HTTPRoute
    namespace: demo01
  to:
  - group: ""
    kind: Service

关键点：

• 同 Namespace 引用默认允许，无需 Grant。
• 跨 Namespace 引用 Service/Secret 必须显式授权。
• Route 附加到不同 Namespace 的 Gateway 需 Gateway 端 allowedRoutes 允许。

六、总结

Gateway API 通过层次化设计和标准化扩展，解决了 Ingress 在多团队协作和复杂路由上的不足。掌握其核心组件（GatewayClass, Gateway, HTTPRoute）及跨命名空间的安全机制（ReferenceGrant），是构建现代化 Kubernetes 网络的关键。本文涵盖了从安装、配置到 HTTPS 及跨域调用的完整流程，可作为日常运维的参考手册。