一、服务访问架构设计原则

在容器化部署场景中，服务访问架构需满足三个核心需求：性能优化（低延迟、高吞吐）、安全防护（防攻击、数据加密）、可观测性（流量监控、故障定位）。基于这些需求，我们采用分层架构设计：

流量入口层：通过CDN加速静态资源分发，WAF防护应用层攻击
负载均衡层：实现流量分发与健康检查
容器编排层：K8s管理服务发现与路由
应用服务层：Docker容器承载业务逻辑

二、公网流量治理方案

2.1 域名与CDN配置

生产环境服务需通过备案域名对外提供服务，建议采用主流云服务商的域名注册服务。域名解析需配置两条记录：

# 示例DNS配置（非真实记录）
example.com  A    1.2.3.4  # 源站IP（备用）
cdn.example.com CNAME cdn.provider.com  # CDN加速域名

CDN配置要点：

回源协议：根据安全需求选择HTTP/HTTPS
缓存策略：动态内容设置短缓存（如60s），静态资源按修改频率配置
回源地址：指向WAF集群的VIP或域名

2.2 WAF防护体系

Web应用防火墙需部署在CDN回源路径上，主要功能包括：

流量清洗：过滤SQL注入、XSS等常见攻击
CC防护：基于速率限制的DDoS防护
数据加密：强制HTTPS重定向与TLS 1.2+配置

典型配置示例：

# WAF规则配置伪代码
rules:
  - pattern: "select.*from"  # SQL注入检测
    action: block
    priority: 1
  - pattern: "<script>"      # XSS检测
    action: block
    priority: 2

2.3 负载均衡设计

WAF后端需部署四层负载均衡器，推荐使用开源方案（如Nginx+Keepalived）或硬件设备。关键配置参数：

会话保持：基于Cookie的会话亲和性
健康检查：TCP/HTTP健康探测（间隔5s，超时3s）
连接池：根据后端服务能力调整最大连接数

负载均衡器将流量转发至K8s集群的Ingress Controller，示例Nginx配置：

upstream k8s_cluster {
    server ingress1.k8s.internal:443 weight=5;
    server ingress2.k8s.internal:443 weight=5;
    keepalive 32;
}
server {
    listen 443 ssl;
    ssl_certificate /path/to/cert.pem;
    location / {
        proxy_pass https://k8s_cluster;
        proxy_set_header Host $host;
    }
}

三、内网流量治理方案

3.1 DNS解析优化

内网环境建议部署私有DNS服务（如PowerDNS），实现：

服务发现：自动解析K8s Service的ClusterIP
流量隔离：通过视图（View）功能区分不同网段的解析结果
高可用：主从架构+定时健康检查

示例DNS区域文件配置：

$ORIGIN k8s.internal.
@       IN SOA  ns1.k8s.internal. admin.k8s.internal. (
                2023080101 ; serial
                3600       ; refresh
                900        ; retry
                604800     ; expire
                86400      ; minimum TTL
)
*       IN A    10.96.0.1  # K8s DNS服务地址
app1   IN CNAME app1-svc.default.svc.cluster.local

3.2 K8s内部路由机制

流量到达Ingress Controller后，需通过以下组件完成路由：

Ingress规则：基于域名/路径的流量分发
Service资源：定义后端Pod的访问策略
CoreDNS：服务发现与域名解析
CNI插件：实现Pod间网络通信

典型Ingress配置示例：

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: app-ingress
  annotations:
    nginx.ingress.kubernetes.io/rewrite-target: /
spec:
  rules:
  - host: app.k8s.internal
    http:
      paths:
      - path: /api
        pathType: Prefix
        backend:
          service:
            name: api-service
            port:
              number: 8080

3.3 服务网格增强（可选）

对于复杂微服务架构，可引入服务网格（如Istio）实现：

流量镜像：金丝雀发布与A/B测试
熔断降级：防止级联故障
可观测性：分布式追踪与指标收集

示例Istio VirtualService配置：

apiVersion: networking.istio.io/v1alpha3
kind: VirtualService
metadata:
  name: app-vs
spec:
  hosts:
  - app.k8s.internal
  http:
  - route:
    - destination:
        host: app-v1
        subset: v1
      weight: 90
    - destination:
        host: app-v2
        subset: v2
      weight: 10

四、监控与运维体系

4.1 关键指标监控

需重点监控以下指标：

WAF层：攻击拦截率、请求延迟（P99）
负载均衡层：连接数、错误率、带宽使用率
K8s层：Ingress Controller的QPS、Pod资源使用率
应用层：业务接口成功率、端到端延迟

4.2 日志收集方案

推荐采用ELK或Loki+Grafana方案，关键日志字段包括：

请求ID（用于链路追踪）
客户端IP与User-Agent
响应状态码与延迟
WAF拦截类型（如SQL注入、CC攻击）

4.3 自动化运维实践

CI/CD流水线：通过GitOps实现配置变更的自动化部署
弹性伸缩策略：基于CPU/内存或自定义指标的HPA
灾备演练：定期测试跨可用区故障转移能力

五、安全加固建议

网络隔离：使用NetworkPolicy限制Pod间通信
镜像安全：启用镜像签名验证与漏洞扫描
运行时防护：通过eBPF技术实现异常行为检测
密钥管理：使用Secret资源或外部密钥管理系统

六、性能优化实践

连接复用：在Ingress Controller启用keepalive
缓存策略：对静态资源设置合理的Cache-Control头
TCP优化：调整内核参数（如tcp_tw_reuse、somaxconn）
服务拆分：将大流量接口拆分为独立服务

通过上述架构设计，企业可构建出兼顾性能、安全与可维护性的容器化服务访问体系。实际实施时需根据业务规模、团队技术栈等因素进行适当调整，建议从核心业务开始试点，逐步扩展至全栈容器化。

企业级容器化服务访问架构：基于K8s与Docker的流量治理实践