我在大厂用Rancher：流量控制 | 少走五年弯路

我在大厂用Rancher：流量控制 | 少走五年弯路

在大厂真实场景里，流量控制是Rancher最核心的压舱石。我见过太多团队因为没摸清Rancher的流量路由策略，导致服务雪崩、调度混乱，甚至整个集群死机。Rancher的流量控制不是简单的负载均衡，而是基于标签、权重、策略的深度控制。我直接用`kubectl apply -f ingress.yaml`来定义Ingress路由，结合`rancher/rancher`的内置策略，比如`--ingress-class=nginx`，确保流量只走指定的Ingress控制器。如果某个服务需要临时降级，直接在Rancher UI里调调整`weight`参数，就能实现流量分流，而且监控系统会自动记录分流比例和实时状态。最绝的是我见过一次，用`rancher/rancher`的`--set=ingress.controller=nginx`参数引导流量到特定的节点池，避免了跨区域访问延迟。这些细节都是踩坑后血泪换来的，别再踩了。

▌ 技术参考

一 在大厂级的Kubernetes集群中，Rancher的流量控制主要依赖于Ingress和Service的配置。我们使用的Ingress控制器是Nginx，Rancher会自动将Ingress资源同步到对应的控制器配置。一个关键配置项是`spec.rules`，其中`http.paths`的`backend`字段指定服务地址。例如，在Ingress YAML中`backend: serviceName: my-service servicePort: 80`，这个配置可能在多副本情况下导致流量分配不均。我见过有团队在不配置`backend`权重的情况下，出现某些Pod负载极重，其他Pod空转的现象。解决方案是用`rancher/rancher`的标签策略，通过`metadata.labels`定义权重。比如`weight: 50`，Rancher会根据权重动态调整流量分配，确保资源利用率均衡。

二 为了实现更精细化的流量控制，我们使用了Rancher的`--set=ingress.controller=nginx`参数来确保流量走向特定的控制器。在某个项目中，我们有多个Ingress控制器，分别部署在不同区域。为了确保高可用，我们配置了`--set=ingress.controller=nginx`，使Rancher的Ingress资源创建时自动绑定到指定控制器。同时，我们用`--set=ingress.annotations`来添加自定义头信息，比如`nginx.ingress.kubernetes.io/canary: "true"`，让流量能够实现灰度发布。这种方式比手动在Ingress中配置更稳定，也节省了大量调试时间。如果配置错误，控制器可能无法识别，导致流量无法路由，造成服务不可用。

三 我在实际操作中遇到过一个特别坑的场景，就是当Rancher集群的节点池配置错误时，流量会错误地路由到非预期的节点上。比如我们误将`nodeSelector`标签设置成`node-role.kubernetes.io/worker: ""`，而实际节点池的标签是`node-role.kubernetes.io/worker: "true"`，导致流量分配混乱。解决这个问题的关键点是检查`rancher/rancher`的Deployment配置，确保`spec.template.metadata.labels`与节点池的标签匹配。同时，我们还用`kubectl get nodes --show-labels`来确认所有节点的标签。在流量控制中，标签匹配的精度直接影响调度策略的有效性，必须确保每个配置项都准确无误。

四 在灰度发布时，我们往往会结合Rancher的ServiceMesh功能，比如Istio。在这种情况下，流量控制需要同时配置Ingress和Istio的DestinationRule。比如，在Istio中，我们设置`spec: trafficPolicy: loadBalancer: weighted: rules`，并用`weight: 70`来分配主流量，`weight: 30`给测试流量。Rancher会自动将这些配置同步到Istio的控制平面。但有个问题需要注意，如果Ingress和Istio的路由规则冲突，会导致流量混乱。比如，当Ingress配置了`path: /test`，而Istio的DestinationRule也指向`/test`，两者可能产生竞争。解决方案是用Ingress的`pathType: Prefix`和`pathType: ImplementationSpecific`配合使用，确保流量优先级。这种方式我用过不少次，每次都要仔细核对路径匹配规则。

五 我们在某个高并发项目中，发现传统的流量控制方法无法满足需求，于是引入了基于权重的流量分配。通过Rancher的`--set=ingress.controller=nginx`参数确保流量分配到特定的控制器，然后利用`kubectl get svc`查看服务的Pod分布情况。发现有些服务因为Pod数量不均，出现了流量倾斜。于是我们配置`kubectl annotate service my-service service.alpha.kubernetes.io/ingress-weight=50`，将流量均分到多个Pod。这种方式需要结合`kubectl get endpoints`来确认实际Pod的数量，否则权重设置不准确会导致负载不均。另外，我见过有团队用`kubectl get ingresses`来监控流量分配，这样能实时看到每个Ingress的流量分布，方便快速调整策略。

六 在流量控制中，Istio的DestinationRule和VirtualService是必须掌握的工具。我们用`kubectl apply -f destinationrule.yaml`来定义流量分配策略，其中`spec: trafficPolicy: loadBalancer: weighted: rules`支持多版本Pod的流量分配。有个坑是，如果DestinationRule没有正确绑定到Service，流量可能无法正确路由。例如，我们曾误将`spec: host: my-service`写成`spec: host: my-service-1`，导致流量无法找到对应的服务。解决方案是用`kubectl get destinationrules`检查配置是否正确，同时确保`spec: rules`中的`host`字段与Service的名称一致。这在大厂里是常见问题，优化配置可以避免大部分流量问题。

七 我们还用Rancher的Ingress类配置来控制流量走向。比如，`--set=ingress.controller=nginx`确保所有Ingress流量都走Nginx控制器，而`--set=ingress.annotations`则用于设置特定的注解，比如`nginx.ingress.kubernetes.io/canary: "true"`。在某个场景中，我们曾因忘记添加`nginx.ingress.kubernetes.io/canary-weight: 30`，导致灰度流量没有按预期分配，反而被主流量覆盖。最终我们通过`kubectl get ingresses`和`kubectl describe ingress`来排查注解是否生效，确保灰度发布过程可控。这种配置方式虽然简单，但能有效提升流量控制的灵活性。

八 踩坑点之一是Rancher的Ingress配置没有及时同步到控制器。比如我们曾使用`kubectl apply -f ingress.yaml`，但发现Rancher的Ingress资源没有被正确创建，导致流量仍然走旧的配置。问题出在Rancher的版本和控制器的版本不匹配，导致某些注解无法识别。解决方案是升级Rancher到`v2.6.8`，并确保控制器版本是`nginx-ingress-controller: 0.44.0`，这样注解就能被正确解析。这种版本兼容问题在大厂中非常常见，必须提前测试和验证。

九 在某个项目中，我们遇到了一个严重的流量倾斜问题。因为Rancher的Service配置中没有正确设置`externalTrafficPolicy: Cluster`，导致流量只分配到特定节点，而其他节点空闲。解决方法是修改Service的`spec: externalTrafficPolicy`为`Cluster`，并配置`spec: ports`的`targetPort`为正确的端口。同时，我们还使用`kubectl get endpoints`来确认Pod的分布情况，确保每个节点都能接收到流量。这个配置虽然简单，但直接影响到流量分配效率和系统稳定性，必须重视。

十 我们还使用了Rancher的网络策略来控制流量走向。比如，通过`kubectl apply -f networkpolicy.yaml`设置Pod的流量路由规则，其中`spec: ingress: from`定义了允许访问的源IP。这种策略在安全场景下特别有用，比如防止外部流量直接访问内部微服务。但有一个问题需要注意，如果网络策略配置错误，可能会导致服务完全不可访问。比如我们曾误将`from: podSelector: matchLabels: app: my-service`写成`from: podSelector: matchLabels: app: my-service-1`，导致流量没有命中目标服务。最终我们用`kubectl get networkpolicies`和`kubectl describe networkpolicy`来排查问题，确保策略生效。

十一 在流量控制中，网络策略的配置必须与Ingress策略配合使用。比如，我们曾遇到流量无法进入某个Service的情况，发现是网络策略限制了流量来源。解决方法是同时配置`spec: rules`和`spec: ingress: from`，确保流量既满足路由规则，又能通过网络策略的过滤。同时，我们还用`kubectl get endpoints`确认服务是否正常运行，避免因为Pod未就绪导致流量失败。这个案例让我意识到，流量控制不仅仅是路由问题，还涉及到网络层面的配置，必须全面考虑。

十二 我们在某个高并发场景中，发现Rancher的Ingress控制器无法处理大量请求，导致性能下降。于是我们启用了`--set=ingress.controller=nginx`的参数，并配置了`nginx.ingress.kubernetes.io/proxy-read-timeout: 300`，延长了超时时间。同时，我们还通过`kubectl get pods`查看控制器的Pod数量，发现如果Pod数量过少，会导致请求堆积。于是我们通过`kubectl scale deployment nginx-ingress-controller --replicas=5`增加了Pod数量，确保流量能够被分摊。这种配置修改在大厂里很常见，但必须结合监控系统进行实时调整。

十三 我们还使用了Rancher的流量镜像功能。通过`kubectl apply -f mirroring.yaml`定义流量镜像策略，其中`spec: mirroring`指定了镜像的目标服务。比如，我们曾在测试环境中将`my-service`的流量镜像到`my-service-test`，这样可以在不改变流量路径的情况下进行灰度测试。但有个问题需要注意，如果镜像配置错误，可能会导致流量被错误地转发，影响服务可用性。比如我们曾误配置`spec: mirroring: targetRef: apiVersion: v1`，导致镜像目标无效。最终我们通过`kubectl describe service`和`kubectl get mirroring`来确认配置是否生效，确保镜像流量能够正确路由。

十四 在流量控制中，标签匹配的优先级非常重要。我见过有团队因为标签匹配顺序错误，导致流量分配失败。比如，我们的Service标签是`app=my-service,env=prod`，而Ingress的标签是`env=prod`，结果流量没有正确分配。问题出在标签匹配的`selector`字段上，必须确保`spec: selector`与`spec: template: metadata: labels`完全匹配。我们可以用`kubectl get service my-service -o jsonpath='{.spec.selector}'`来查看Service的标签选择器是否正确，再对比`kubectl get pods`的标签，确保标签一致。这种细节问题在大厂中往往会被忽视，但却是流量控制成败的关键。

十五 我们曾遇到一个案例，流量控制策略导致服务无法及时更新。比如，我们的灰度发布策略配置了`nginx.ingress.kubernetes.io/canary-weight: 30`，但新版本Pod未能及时接收到流量。问题出在Rancher的Ingress配置没有及时推送更改，我们通过`kubectl get ingresses`和`kubectl get ingress-nginx`来确认配置是否同步。最终发现是Rancher的版本过旧，导致某些注解无法识别。于是我们升级到`v2.6.8`，并重新应用Ingress配置。升级后，流量策略生效，新版本Pod开始接收流量，避免了服务中断。这个案例让我深刻认识到版本兼容和配置同步的重要性。