K8S 源码探秘 之 nginx-ingress 工作原理分析

一、引言

       Nginx-ingress 是 Kubernetes 生态中的重要成员，主要负责向外暴露服务，同时提供负载均衡等附加功能；

       截至目前，nginx-ingress 已经能够完成 7/4 层的代理功能（4 层代理基于 ConfigMap，感觉还有改进的空间）；

       Nginx 的 7 层反向代理模式，可以简单用下图表示：

       

       Nginx 对后端运行的服务（Service1、Service2）提供反向代理，在配置文件中配置了域名与后端服务 Endpoints 的对应关系。客户端通过使用 DNS 服务或者直接配置本地的 hosts 文件，将域名都映射到 Nginx 代理服务器。当客户端访问 service1.com 时，浏览器会把包含域名的请求发送给 nginx 服务器，nginx 服务器根据传来的域名，选择对应的 Service，这里就是选择 Service 1 后端服务，然后根据一定的负载均衡策略，选择 Service1 中的某个容器接收来自客户端的请求并作出响应。过程很简单，nginx 在整个过程中仿佛是一台根据域名进行请求转发的“路由器”，这也就是7层代理的整体工作流程了！

       对于 Nginx 反向代理做了什么，我们已经大概了解了。在 k8s 系统中，后端服务的变化是十分频繁的，单纯依靠人工来更新nginx 的配置文件几乎不可能，nginx-ingress 由此应运而生。Nginx-ingress 通过监视 k8s 的资源状态变化实现对 nginx 配置文件的自动更新，下面本文就来分析下其工作原理。

二、nginx-ingress 工作流程分析

       首先，上一张整体工作模式架构图（只关注配置同步更新）

        不考虑 nginx 状态收集等附件功能，nginx-ingress 模块在运行时主要包括三个主体：NginxController、Store、SyncQueue。其中，Store 主要负责从 kubernetes APIServer 收集运行时信息，感知各类资源（如 ingress、service等）的变化，并及时将更新事件消息（event）写入一个环形管道；SyncQueue 协程定期扫描 syncQueue 队列，发现有任务就执行更新操作，即借助 Store 完成最新运行数据的拉取，然后根据一定的规则产生新的 nginx 配置，（有些更新必须 reload，就本地写入新配置，执行 reload），然后执行动态更新操作，即构造 POST 数据，向本地 Nginx Lua 服务模块发送 post 请求，实现配置更新；NginxController 作为中间的联系者，监听 updateChannel，一旦收到配置更新事件，就向同步队列 syncQueue 里写入一个更新请求。

       下边，我们就结合代码来分析一遍以上的流程：

       首先，来到程序入口处，cmd/nginx/main.go

func main() {
	...
	ngx := controller.NewNGINXController(conf, mc, fs)
	...
	ngx.Start()
}

        为了避免陷入，我们只关注最主要的代码。在 main 函数中，程序首先构造了 NginxController，并执行了其 Start 方法，启动了 Controller 主程序。

        我们具体看下，ngx.Start() 到底做了什么，跟踪到 internal/ingress/controller/nginx.go#Start()

func (n *NGINXController) Start() {
	...
	n.store.Run(n.stopCh)
	...
	go n.syncQueue.Run(time.Second, n.stopCh)
	...
	for {
		select {
		...
		case event := <-n.updateCh.Out():
			if n.isShuttingDown {
				break
			}
			if evt, ok := event.(store.Event); ok {
				if evt.Type == store.ConfigurationEvent {
					n.syncQueue.EnqueueTask(task.GetDummyObject("configmap-change"))
					continue
				}
				n.syncQueue.EnqueueSkippableTask(evt.Obj)
			} 
		...
	}
}

       可以看到，NginxController 首先启动了 Store 协程，然后启动了 syncQueue 协程，最后监听 updateCh，当收到事件后，经过简单判断就向 syncQueue 写入了一个 task。

       再来看 Store 协程，跟踪到 internal/ingress/controller/store/store.go#Run()

func (s k8sStore) Run(stopCh chan struct{}) {
	s.informers.Run(stopCh)
	...
}

       可以看到，继续调用了 informer 的 Run 方法，继续跟踪，还在这个文件，移步到 148 行左右

// Run initiates the synchronization of the informers against the API server.
func (i *Informer) Run(stopCh chan struct{}) {
	go i.Endpoint.Run(stopCh)
	go i.Service.Run(stopCh)
	go i.Secret.Run(stopCh)
	go i.ConfigMap.Run(stopCh)
	...
	go i.Ingress.Run(stopCh)
	...
}

       我们不难发现，informer 的 Run 方法，会起更多的协程，去监听不同资源的变化，包括 Endpoint、Service、Secret、ConfigMap、Ingress。我们以 Ingress 为例，跟踪到其定义处，仍在这个文件，找到 New() 方法

// New creates a new object store to be used in the ingress controller
func New(... updateCh *channels.RingChannel ...) Storer {
	...
	store.informers.Ingress = infFactory.Extensions().V1beta1().Ingresses().Informer()
	...
	ingEventHandler := cache.ResourceEventHandlerFuncs{
		AddFunc: func(obj interface{}) {
			...
			updateCh.In() <- Event{
				Type: CreateEvent,
				Obj:  obj,
			}
		},
		DeleteFunc: func(obj interface{}) {
			...
			updateCh.In() <- Event{
				Type: DeleteEvent,
				Obj:  obj,
			}
		},
		UpdateFunc: func(old, cur interface{}) {
			...
			updateCh.In() <- Event{
				Type: UpdateEvent,
				Obj:  cur,
			}
		},
	}
	...
	store.informers.Ingress.AddEventHandler(ingEventHandler)
	...
}

        可以看出，Ingress 协程定义了监听 ingress 信息的 informer 对象，并注册了相关事件的回调方法，在回调方法内向之前提到的 updateCh 写入了事件，进而也就达到了当资源变化时通知 Controller 主程向同步队列写入task的目的。

        反过头来，看一下 syncQueue ，首先找到其定义，跟踪到 internal/ingress/controller/nginx.go#NewNGINXController()

// NewNGINXController creates a new NGINX Ingress controller.
func NewNGINXController(config *Configuration, mc metric.Collector, fs file.Filesystem) *NGINXController {
	...
	n.syncQueue = task.NewTaskQueue(n.syncIngress)
	...
}

       不难发现，队列的创建是通过 task.NewTaskQueue() 完成的，而且传入了关键的处理函数 n.syncIngress

       继续跟踪到 internal/task/queue.go#NewTaskQueue()

// NewTaskQueue creates a new task queue with the given sync function.
// The sync function is called for every element inserted into the queue.
func NewTaskQueue(syncFn func(interface{}) error) *Queue {
	return NewCustomTaskQueue(syncFn, nil)
}

// NewCustomTaskQueue ...
func NewCustomTaskQueue(syncFn func(interface{}) error, fn func(interface{}) (interface{}, error)) *Queue {
	q := &Queue{
		queue:      workqueue.NewRateLimitingQueue(workqueue.DefaultControllerRateLimiter()),
		sync:       syncFn,
		workerDone: make(chan bool),
		fn:         fn,
	}
	...
	return q
}

       可以看出，传入的处理函数 n.syncIngress 被赋值给 Queue 的 sync 属性了。实际上，syncQueue 的执行就是在反复执行该方法以消费队列里的元素。Queue 的 Run 定义可以在本文件中找到：

// Run starts processing elements in the queue
func (t *Queue) Run(period time.Duration, stopCh <-chan struct{}) {
	wait.Until(t.worker, period, stopCh)
}

// worker processes work in the queue through sync.
func (t *Queue) worker() {
	for {
		key, quit := t.queue.Get()
		...
		if err := t.sync(key); err != nil {
			t.queue.AddRateLimited(Element{
				Key:       item.Key,
				Timestamp: time.Now().UnixNano(),
			})
		} else {
			t.queue.Forget(key)
			t.lastSync = ts
		}

		t.queue.Done(key)
	}
}

        同步队列协程的主要工作就是定期取出队列里的元素，并利用传入的 n.syncIngress （即 t.sync(key)）方法处理队列里的元素。

        n.syncIngress 方法的定义在 internal/ingress/controller/controller.go#syncIngress()

// syncIngress collects all the pieces required to assemble the NGINX
// configuration file and passes the resulting data structures to the backend
// (OnUpdate) when a reload is deemed necessary.
func (n *NGINXController) syncIngress(interface{}) error {

	// 获取最新配置信息
	....
	// 构造 nginx 配置
	pcfg := &ingress.Configuration{
		Backends:              upstreams,
		Servers:               servers,
		PassthroughBackends:   passUpstreams,
		BackendConfigChecksum: n.store.GetBackendConfiguration().Checksum,
	}
	...
	// 不能避免 reload，就执行 reload 更新配置
	if !n.IsDynamicConfigurationEnough(pcfg) {
		...
		err := n.OnUpdate(*pcfg)
		...
	}
	...
	// 动态更新配置
	err := wait.ExponentialBackoff(retry, func() (bool, error) {
		err := configureDynamically(pcfg, n.cfg.ListenPorts.Status, n.cfg.DynamicCertificatesEnabled)
		...
	})
	...
}

       reload 配置的函数定义位于 internal/ingress/controller/nginx.go#OnUpdate()，具体就不解释了，读者可自行查阅。

       这里主要看下动态更新是怎么完成的，函数定义位于 internal/ingress/controller/nginx.go#configureDynamically()

// configureDynamically encodes new Backends in JSON format and POSTs the
// payload to an internal HTTP endpoint handled by Lua.
func configureDynamically(pcfg *ingress.Configuration, port int, isDynamicCertificatesEnabled bool) error {
	backends := make([]*ingress.Backend, len(pcfg.Backends))

	for i, backend := range pcfg.Backends {
		var service *apiv1.Service
		if backend.Service != nil {
			service = &apiv1.Service{Spec: backend.Service.Spec}
		}
		luaBackend := &ingress.Backend{
			Name:                 backend.Name,
			Port:                 backend.Port,
			SSLPassthrough:       backend.SSLPassthrough,
			SessionAffinity:      backend.SessionAffinity,
			UpstreamHashBy:       backend.UpstreamHashBy,
			LoadBalancing:        backend.LoadBalancing,
			Service:              service,
			NoServer:             backend.NoServer,
			TrafficShapingPolicy: backend.TrafficShapingPolicy,
			AlternativeBackends:  backend.AlternativeBackends,
		}

		var endpoints []ingress.Endpoint
		for _, endpoint := range backend.Endpoints {
			endpoints = append(endpoints, ingress.Endpoint{
				Address: endpoint.Address,
				Port:    endpoint.Port,
			})
		}

		luaBackend.Endpoints = endpoints
		backends[i] = luaBackend
	}

	url := fmt.Sprintf("http://localhost:%d/configuration/backends", port)
	err := post(url, backends)
	if err != nil {
		return err
	}

	if isDynamicCertificatesEnabled {
		err = configureCertificates(pcfg, port)
		if err != nil {
			return err
		}
	}

	return nil
}

      可以看出，确实是通过请求 Lua 后端来实现动态配置更新的，使用的是典型的 http post 方法。后续的动态更新动作转交给 Lua 模块负责。因为 Lua 以模块形式嵌入 Nginx 运行，因此其更新配置也就在一定程度上避免了 reload。

      目前来看，具体 Serive Pod 的变化不会导致 reload 的发生，因为服务内容器的负载均衡已经移交给 Lua 处理，而 Service 的增减变化仍通过配置文件形式更新，会导致 reload 发生。这可以从 nginx 的配置文件看出：

...
http {
    ...
    upstream upstream_balancer {
        server 0.0.0.1; # placeholder
        balancer_by_lua_block {
            balancer.balance()
        }
        keepalive 32;
    }
    
    server {
        server_name wordpress.local ;
        listen 80;
        listen [::]:80;
        set $proxy_upstream_name "-";
        location / {
            ...
            proxy_pass http://upstream_balancer;
            proxy_redirect                          off;
        }
    }
}

       可以看到当添加了 wordpress 服务后，在 nginx 配置中确实添加了 一个 server 条目，但该条目中没有具体指出后端的容器地址，而是指向了一个叫 upstream_balancer 的地址，这个 balancer 其实是由 Lua 动态提供路由的。既然没有实际的容器后端在配置文件中进行配置，自然地，服务中容器数量的增减变化也就不必修改 nginx 配置文件了，这就是免 reload 的关键！简单推测，Lua 模块所做的就是维持一个服务到容器的映射关系，动态地提供负载均衡路由。

       官方关于避免 Reload 的介绍：https://kubernetes.github.io/ingress-nginx/how-it-works/#avoiding-reloads

       以上就是博主对 Nginx-Ingress 运行机制的简单理解，欢迎读者批评指正！