CKAD 常用资源：Ingress

Sun, 09 Aug 2026 12:18:00 +0800

Ingress 提供 HTTP/HTTPS 七层路由。CKAD 常考 host、path、pathType、backend service。

YAML 模板

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17


apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
 name: api-ingress
 namespace: networking
spec:
 rules:
 - host: api.example.com
 http:
 paths:
 - path: /
 pathType: Prefix
 backend:
 service:
 name: api-service
 port:
 number: 80

常考字段解析

spec.rules[].host：域名匹配。
paths[].path：URL 路径。
paths[].pathType：常用 Prefix 或 Exact。
backend.service.name：后端 Service 名称。
backend.service.port.number：后端 Service 端口，不是容器端口。

常用命令

1
2
3


k create ingress api-ingress -n networking --rule='api.example.com/=api-service:80'
k get ingress -n networking
k describe ingress api-ingress -n networking

易错点

Ingress 后端指向 Service，不直接指向 Pod。
port.number 是 Service 的 port。
集群需要 Ingress Controller，资源存在不代表外部一定可访问。

CKAD 复习：网络题压缩模板

Sun, 09 Aug 2026 11:30:00 +0800

网络题只围绕 3 个资源：Service 找 Pod，Ingress 找 Service，NetworkPolicy 限制 Pod 流量。排障时顺着这条链查：客户端 -> Service -> Endpoints -> Pod labels -> containerPort。

1. Service：selector 必须匹配 Pod label

ClusterIP 是默认类型，内部访问用它。

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12


apiVersion: v1
kind: Service
metadata:
 name: internal-app
 namespace: networking
spec:
 type: ClusterIP
 selector:
 app: backend
 ports:
 - port: 80
 targetPort: 8080

NodePort 暴露到节点端口：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13


apiVersion: v1
kind: Service
metadata:
 name: public-web
 namespace: networking
spec:
 type: NodePort
 selector:
 app: web
 ports:
 - port: 80
 targetPort: 80
 nodePort: 30080

用命令从 Deployment 暴露 Service：

1
2
3
4
5


k expose deployment web-frontend -n networking \
 --name=public-web \
 --type=NodePort \
 --port=80 \
 --target-port=80

2. Service 排障：看 Endpoints

Service 不通时优先查 selector 和 endpoint。

1
2
3
4


k get svc web-service -n troubleshooting -o wide
k describe svc web-service -n troubleshooting
k get endpoints web-service -n troubleshooting
k get pod -n troubleshooting --show-labels

如果 ENDPOINTS 为空，通常是 Service selector 和 Pod label 不匹配：

1
2
3
4
5


# 方案 1：改 Service selector
k patch svc web-service -n troubleshooting -p '{"spec":{"selector":{"app":"web"}}}'

# 方案 2：给 Pod/Deployment 模板补 label
k label pod <pod> app=web -n troubleshooting

临时测试：

1

k run tmp --restart=Never --rm -i --image=busybox -- wget -O- web-service:80

3. Ingress：host/path -> service/port

Ingress 只是七层路由，后端必须是 Service。

k get ingressClass -A

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18


apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
 name: api-ingress
 namespace: networking
spec:
 ingressClassName: nginx # 指定 Ingress Controller, 默认 nginx
 rules:
 - host: api.example.com
 http:
 paths:
 - path: /
 pathType: Prefix
 backend:
 service:
 name: api-service
 port:
 number: 80

检查：

1
2


k get ingress -n networking
k describe ingress api-ingress -n networking

4. NetworkPolicy：选择目标 Pod，再写允许来源

题型：“只允许 label 为 tier=frontend 的 Pod 访问 label 为 app=web 的 Pod 的 80 端口”。

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19


apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
 name: allow-traffic
 namespace: networking
spec:
 podSelector:
 matchLabels:
 app: web
 policyTypes:
 - Ingress
 ingress:
 - from:
 - podSelector:
 matchLabels:
 tier: frontend
 ports:
 - protocol: TCP
 port: 80

记忆点：

spec.podSelector 选被保护的目标 Pod。
ingress.from.podSelector 选允许进来的来源 Pod。
一旦 Pod 被 NetworkPolicy 选中，未显式允许的流量会被拒绝。

5. 自定义列输出

Killer Shell 常出现“输出特定列到文件”：

1
2
3


k get ns > /opt/course/1/namespaces
k get pod -A -o custom-columns='NS:.metadata.namespace,NAME:.metadata.name,IMAGE:.spec.containers[*].image'
k get svc -A -o wide

考场压缩记忆

Service：selector 找 Pod，port 是 Service 端口，targetPort 是容器端口。
Ingress：host/path 找 Service，不直接找 Pod。
NetworkPolicy：先选“被保护目标”，再写“允许来源”。
排障固定看：svc -> endpoints -> pod labels -> logs/events。

Ingress on 我的空间