K8s Ingress Nginx高危漏洞升级修复全流程实操教程

什么时候需要升级 Ingress Nginx？

近期 Kubernetes 社区曝出 Ingress Nginx 控制器存在多个高危漏洞（例如 CVE-2022-4886 等），攻击者可利用特制请求绕过认证、执行代码或造成拒绝服务。
如果你的集群使用 Ingress Nginx 作为流量入口，务必尽快升级到修复版本。
本文以零基础用户能直接照做的方式，带你走完整套升级流程。

升级前准备：检查环境与当前版本

执行升级前，确认以下条件满足：

• 拥有集群管理员权限（kubectl 能执行 kubectl get nodes）
• 若使用 Helm 管理 Ingress Nginx，确认已安装 Helm 客户端（版本 v3+）
• 准备好备份：如果是生产环境，建议先备份现有 Ingress 资源及控制器配置

查看当前 Ingress Nginx 版本：

kubectl get pods -n ingress-nginx -o wide
kubectl describe pod <控制器Pod名称> -n ingress-nginx | grep Image

通常输出类似 registry.k8s.io/ingress-nginx/controller:v1.6.4，记录版本号。

对照官方安全公告：访问 Ingress Nginx 发布页 确认最新稳定版。
例如截止本文撰写时，最新版为 v1.8.4（请以实际为准）。
如果当前版本低于修复版本，执行升级。

升级操作：Helm 与 YAML 两种方式

方式一：使用 Helm 升级（推荐）

如果之前通过 Helm 安装，升级最便捷：

# 更新 Helm 仓库
helm repo update ingress-nginx

# 升级部署
helm upgrade ingress-nginx ingress-nginx/ingress-nginx -n ingress-nginx

升级后 Helm 会自动拉取新版镜像并滚动更新 Pod。

方式二：直接更新 YAML 部署

若用 kubectl apply 部署，下载新版 YAML 并应用：

kubectl apply -f https://raw.githubusercontent.com/kubernetes/ingress-nginx/controller-v1.8.4/deploy/static/provider/cloud/deploy.yaml

注意：请将版本号替换为实际最新版。
如果之前修改过默认配置，建议用 kubectl diff 检查差异后再应用。

避坑指南：常见问题与解决

问题 1：升级后 Pod 启动失败
检查镜像拉取：部分新版本使用 registry.k8s.io 镜像，国内环境需配置镜像加速器或手动拉取。

# 手动拉取示例
docker pull registry.cn-hangzhou.aliyuncs.com/google_containers/ingress-nginx-controller:v1.8.4
# 然后修改 Deployment 的 image 字段

问题 2：配置兼容性
新版可能弃用部分 Annotation。升级前查阅迁移指南。如果升级后 Ingress 规则不生效，检查事件日志：

kubectl describe ingress <名称>

问题 3：滚动更新期间流量中断
确保 Deployment 设置 strategy.rollingUpdate.maxSurge 和 maxUnavailable 为合理值，例如 25%。可临时增加副本数：

kubectl scale deployment ingress-nginx-controller -n ingress-nginx --replicas=3

升级后再调回原数。

验证升级效果：确认漏洞已修复

升级完成后，按以下步骤验证：

1. 检查版本号：

kubectl exec -n ingress-nginx  -- /nginx-ingress-controller --version

输出应为升级后的版本。

1. 测试 Ingress 访问：

通过域名或节点 IP 访问已有服务，确保业务正常。

curl -I http://your-domain.com

若返回 200，说明 Ingress 正常工作。

1. 查看安全公告确认：登录 GitHub Security Advisories 确认当前版本已修复高危漏洞。

高频问题解答

Q：我用的 Ingress Nginx 版本很旧（v0.x），可以直接升 v1.x 吗？
A：建议先升级到最新 v0.49.x，再逐步升级到 v1.x。v1.0 起移除了较多旧特性，需参考官方升级指南。

Q：升级后需要重启所有 Pod 吗？
A：Ingress Nginx 控制器会滚动更新，不需要手动重启业务 Pod。但 Ingress 配置变化后会重新加载，无需额外操作。

Q：如何回滚？
A：Helm 用户执行 helm rollback ingress-nginx -n ingress-nginx；YAML 用户使用备份原 YAML 重新 kubectl apply。

总结

本文从准备工作到升级验证，完整演示了 K8s Ingress Nginx高危漏洞升级修复流程。
核心操作只有几步：检查版本→选择升级方式→验证结果。
如果遇到异常，优先回看“避坑指南”部分。
建议定期关注官方安全公告，及时修复漏洞，保障集群安全。