Kubernetes作为容器编排的事实标准，如何安全高效地暴露服务始终是开发者关注的焦点。Service和Ingress作为K8s网络体系的核心组件，分别解决了集群内服务发现和外部流量管理两大关键问题。本文将深入解析这两种资源的协同工作机制，帮助您构建灵活可靠的应用暴露方案。
服务暴露基础原理
Service通过标签选择器与Pod绑定，本质是四层负载均衡器。ClusterIP类型为内部通信提供虚拟IP，NodePort在每台节点开放静态端口，而LoadBalancer则集成云厂商的LB服务。其核心价值在于为动态变化的Pod提供稳定访问端点，通过kube-proxy维护iptables/ipvs规则实现流量转发。
七层流量智能管控
Ingress作为HTTP层路由抽象，通过定义主机名和路径规则实现精细化流量分发。Nginx、Traefik等Ingress Controller会监听Ingress资源变更，动态生成反向代理配置。支持基于Cookie的会话保持、按权重分流等高级特性，还能通过Annotations扩展SSL终止、重定向等功能。
生产环境最佳实践
建议将Service作为Ingress的后端服务，形成"外部请求→Ingress→Service→Pod"的完整链路。重要配置包括：为Ingress添加TLS证书保障传输安全，设置健康检查探针避免流量打到异常Pod，通过资源配额限制Ingress Controller资源占用。在混合云场景中，可结合ExternalName Service集成外部服务。
性能优化关键点
大规模部署时需关注Ingress Controller的性能瓶颈，可采用分片部署方案。启用Keepalive减少TCP连接开销，调整缓冲区大小应对高并发请求。对于时延敏感型应用，建议使用NetworkPolicy限制不必要的网络跳数，并考虑启用Service的拓扑感知路由功能。
监控与故障排查
通过Service的Endpoints对象可实时查看关联Pod状态，Ingress事件日志能发现配置错误。典型问题排查路径包括：检查Controller日志验证配置是否生效，测试Service的ClusterIP是否可达，确认网络插件是否正常。Prometheus配合Grafana面板可监控QPS、延迟等关键指标。