七、Ingress 与 Gateway
本章把“集群外连接到入口”和“入口选择业务后端”连成一条可以验证的路径。先完成 Service 与 Pod 网络，再引入域名、路径、证书和跨团队授权。
1、阅读地图
| 专题 | 图号 | 应能回答 |
|---|---|---|
| Ingress 与控制器 | K7-1、K7-2 | 谁配置规则，谁转发请求 |
| 匹配、重写与会话保持 | K7-3 | 后端究竟收到什么 |
| TLS 与证书 | K7-4 | 加密在哪里结束，谁负责续期 |
| Gateway API | K7-5 | 监听、路由和引用如何授权 |
| 选型与迁移 | K7-6 | 如何证明行为一致且能回滚 |
2、从入口路径开始
图 K7-1 复用第一篇；虚线配置依赖与实线数据路径需要分开观察。
3、实验前提与边界
使用 README 的专用上下文和 Service 基线。Traefik 固定 chart 41.6.0、应用 3.7.13，Gateway API 固定 1.6.1 Standard。宿主 8080/8443 对应 NodePort 30080/30443；改端口时同时修改测试 URL。
本地 TLS 使用明确传入信任的自签名证书；cert-manager 介绍签发链路，公共 CA 签发、真实云入口和公网迁移需要扩展环境。
4、本章验收
完成正确/错误 Host、路径分段匹配、去前缀前后响应、证书链与域名校验、HTTPRoute 引用错误及恢复。自测答案见各专题末尾。能用配置状态与请求证据解释故障后，再进入调度。