Container Service for Kubernetes：部署高負載情境的Nginx Ingress Controller

配置項說明

ConfigMap中的關鍵配置項說明如下。

配置日誌自動輪轉

Nginx Ingress Controller Pod預設將日誌記錄到/dev/stdout。隨著記錄檔逐漸增大，記錄新日誌耗費的資源也會更多。通過定時輪轉日誌，即將一個時間段中的日誌儲存到獨立檔案中，並清除原有日誌記錄的方法，可降低記錄日誌的資源消耗。

1. 以SSH方式登入部署Nginx Ingress Controller Pod的ECS節點。具體操作，請參見通過密鑰認證登入Linux執行個體。

2. 在/root目錄下添加檔案nginx-log-rotate.sh。

   containerd節點

   #!/bin/bash
   # 最多保留記錄檔個數，可根據需求進行調整。
   keep_log_num=5
   
   #擷取所有運行中的ingress-nginx容器ID
   ingress_nginx_container_ids=$(crictl ps | grep nginx-ingress-controller | grep -v pause | awk '{print $1}')
   if [[ -z "$ingress_nginx_container_ids" ]]; then
    echo "error: failed to get ingress nginx container ids"
    exit 1
   fi
   
   # 隨機睡眠5~10秒。
   sleep $(( RANDOM % (10 - 5 + 1 ) + 5 ))
   for id in $ingress_nginx_container_ids; do
    crictl exec $id bash -c "cd /var/log/nginx; if [[ \$(ls access.log-* | wc -l) -gt $keep_log_num ]]; then rm -f \$(ls -t access.log-* | tail -1); fi ; mv access.log access.log-\$(date +%F:%T) ; kill -USR1 \$(cat /tmp/nginx/nginx.pid)"
   done	
   

   Docker節點

   #!/bin/bash
   # 最多保留記錄檔個數，可根據需求進行調整。
   keep_log_num=5
   
   #擷取所有運行中的ingress-nginx容器ID
   ingress_nginx_container_ids=$(docker ps | grep nginx-ingress-controller | grep -v pause | awk '{print $1}')
   if [[ -z "$ingress_nginx_container_ids" ]]; then
    echo "error: failed to get ingress nginx container ids"
    exit 1
   fi
   
   # 隨機睡眠5~10秒。
   sleep $(( RANDOM % (10 - 5 + 1 ) + 5 ))
   for id in $ingress_nginx_container_ids; do
    docker exec $id bash -c "cd /var/log/nginx; if [[ \$(ls access.log-* | wc -l) -gt $keep_log_num ]]; then rm -f \$(ls -t access.log-* | tail -1); fi ; mv access.log access.log-\$(date +%F:%T) ; kill -USR1 \$(cat /tmp/nginx/nginx.pid)"
   done	
   	

3. 執行以下命令，對nginx-log-rotate.sh檔案添加可執行許可權。

   chmod 755 /root/nginx-log-rotate.sh

4. 在/etc/crontab檔案結尾添加以下內容：

   */15 * * * *  root /root/nginx-log-rotate.sh

   說明

   此樣本使用Cron運算式，每15分鐘對日誌輪轉一次，您可根據實際需求進行調整。

啟用Brotli壓縮

壓縮是一種通過犧牲CPU時間來節省大量網路頻寬的通用方法，能夠提升輸送量。Brotli是Google開發的一種壓縮演算法。相較於常用的gzip壓縮演算法（Nginx Ingress Controller預設使用gzip），Brotli在文本類資料（如網頁資源）上的壓縮率通常比 gzip 高約 15%~30%，但具體提升取決情境的詳細情況。在Nginx Ingress中啟用Brotli壓縮，需要配置以下參數。

• enable-brotli: 是否啟用Brotli壓縮演算法，取值為 true 或 false。

• brotli-level: 壓縮層級，範圍是1到11，預設是4。層級越高，CPU效能消耗越大。

• brotli-types: 指定使用Brotli即時壓縮的MIME類型。

您可通過在ConfigMap中添加以下配置啟用Brotli壓縮：

data:
  enable-brotli: "true"
  brotli-level: "6"
  brotli-types: "text/xml image/svg+xml application/x-font-ttf image/vnd.microsoft.icon application/x-font-opentype application/json font/eot application/vnd.ms-fontobject application/javascript font/otf application/xml application/xhtml+xml text/javascript application/x-javascript text/plain application/x-font-truetype application/xml+rss image/x-icon font/opentype text/css image/x-win-bitmap"

HTTPS效能最佳化

為了提升Nginx ingress Controller的HTTPS的效能，可以配置以下參數：SSL 會話緩衝、OCSP Stapling、TLS 1.3 早期資料以及調整密碼套件優先順序。

• SSL會話緩衝與逾時

  設定SSL 共用工作階段緩衝的大小以及重用緩衝中儲存的會話參數的時間，可以減少SSL握手的開銷。

  • ConfigMap配置：

    data:
      ssl-session-cache-size: "10m"
      ssl-session-timeout: "10m"

  • 對應Nginx側的nginx.conf配置，可以根據實際情境需求調整。

    ssl_session_cache shared:SSL:120m;   # 1m 4000個。
    ssl_session_timeout 1h;              # 會話逾時時間為1小時。

• 啟用OCSP Stapling

  使用OCSP Stapling可以減少用戶端認證驗證的時間。

  data:
    enable-ocsp: "true"

• 支援TLS 1.3早期資料（0-RTT）

  啟用TLS 1.3的0-RTT功能可以允許用戶端在握手完成之前就發送資料，從而減少串連建立的延遲。

  data:
    ssl-early-data: "true"
    ssl-protocols: "TLSv1.3"

• 調整Cipher優先順序（無需手動調優）

  通過調整加密套件的優先順序，可以有效降低延遲。Nginx Ingress Controller的預設配置已進行了最佳化。

  ssl_ciphers 'ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384';
  ssl_prefer_server_ciphers on;    # 優先使用伺服器端的Cipher配置。