K8s Ingress + Service 网络链路排查手册 + 一键诊断脚本（Bash，覆盖 5 个典型故障场景）

背景

我在 200+ 节点生产集群上维护 30+ 微服务，Ingress（Nginx Ingress Controller）→ Service → Pod 这条链路是日常故障最高发区。每次排查都要人肉跑一串 kubectl / curl / tcpdump，效率低且依赖经验。希望沉淀一份可复用、可交付给新人直接上手的排查手册 + 一键诊断脚本。

最终要什么

一份 Markdown 排查手册 + 一个 Bash 诊断脚本，覆盖以下 5 个典型故障场景（每个场景必须给出：现象 → 根因 → 排查命令 → 修复步骤）：

1. Ingress 404 / 403：路由规则未生效、path 前缀匹配错误、TLS 证书 SNI 不匹配
2. Service ClusterIP 不通：Endpoints 为空、targetPort 与 containerPort 不一致、NetworkPolicy 阻断
3. Pod 内服务正常但 Service 访问超时：kube-proxy iptables/IPVS 规则缺失、conntrack 表满
4. Ingress 502 / 504：上游 Pod 未就绪（readiness 探针配置）、proxy-read-timeout 过短、后端 OOM 重启
5. 跨命名空间 / 跨集群调用不通：Service DNS 解析失败、ExternalName 配置错误、CoreDNS 缓存

输入与上下文

• K8s 版本：1.25 – 1.30
• Ingress Controller：Nginx Ingress Controller（≥ 1.8）
• 脚本运行环境：任意装有 kubectl（≥ 1.25）+ curl + jq 的 Linux 节点
• 不需要额外安装依赖（tcpdump 为可选增强）

交付格式

1. 排查手册（Markdown，≥ 2000 字）：按上述 5 个场景分章节，每章含现象描述、根因分析（≥ 2 种可能）、≥ 3 条可复现的排查命令（含预期输出示例）、修复步骤与回滚方法。
2. 一键诊断脚本（Bash，ingress-dx.sh）：
   • 入参：--namespace <ns> --ingress <name> --service <name> --port <port>
   • 自动执行：DNS 解析 → Ingress 规则检查 → Service/Endpoints 检查 → Pod 就绪状态 → 连通性 curl 测试
   • 输出：结构化报告（每个检查项 PASS/FAIL + 详情），末尾汇总
   • 兼容 bash 4.0+，不依赖 set -e 之外的特殊特性
3. README.md：环境要求、快速开始（≥ 3 条命令）、脚本参数说明、FAQ（≥ 3 条）

所有命令必须可在 kind 或 minikube 单节点集群上复现验证。