Kubernetes Gateway API 1.4 全面 GA：从 Ingress 的泥潭到南北/东西向统一治理——一次讲透 GatewayClass、HTTPRoute 与 GAMMA

如果你在 2026 年的某个新集群里还在手写 kubernetes.io/ingress.class: nginx 加一长串 nginx.ingress.kubernetes.io/* 注解来做灰度发布，那么这篇文章就是写给你的。2026 年 8 月，Kubernetes SIG-Network 正式把 Gateway API v1.4 推上 GA，官方开始建议新集群直接用 Gateway API 替代 Ingress。这不只是一次 API 升级，而是云原生流量治理范式的一次重构：南北向（入口）与东西向（服务间）流量，第一次有了同一套、面向角色、可扩展的标准语言。

一、背景介绍：Ingress 到底烂在哪里

要理解 Gateway API 的价值，得先承认一个事实：Ingress 是一个"刚好够用"的过渡方案，而不是一个"设计良好"的标准。

Ingress 在 Kubernetes 1.1 时代就被引入，它的原始设计目标极其朴素：把集群外的 HTTP/HTTPS 流量，按 host + path 转发到集群内的 Service。就这一件事，它做得还行。但当业务复杂度上来之后，裂缝开始无处不在。

1.1 注解（annotation）地狱

Ingress 的标准资源里只定义了 rules（host/path → backend）和 tls。至于"权重分流""请求超时""重试""限流""CORS""重写路径""金丝雀"这些企业级流量治理能力，标准 Ingress 一个都没定义。结果就是：所有高级能力都被塞进了厂商自定义的注解里。

# 一个真实的、让人想哭的 NGINX Ingress
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: legacy-canary
  annotations:
    kubernetes.io/ingress.class: nginx
    nginx.ingress.kubernetes.io/canary: "true"
    nginx.ingress.kubernetes.io/canary-weight: "20"
    nginx.ingress.kubernetes.io/rewrite-target: /$2
    nginx.ingress.kubernetes.io/proxy-read-timeout: "60"
    nginx.ingress.kubernetes.io/proxy-send-timeout: "60"
    nginx.ingress.kubernetes.io/configuration-snippet: |
      more_set_headers "X-Served-By: nginx-ingress";
spec:
  rules:
    - host: shop.example.com
      http:
        paths:
          - path: /api(/|$)(.*)
            pathType: Prefix
            backend:
              service:
                name: shop-api-canary
                port:
                  number: 80

问题不在于"能跑"，而在于这些注解是 NGINX Ingress Controller 专属的。你今天用的是 NGINX，明天想换成 Traefik 或 Envoy Gateway，这些注解一个都带不走——你得把每一行重写成另一家的方言。这就是典型的厂商锁定，而开发者往往是在"想换网关"的那个下午才猛然意识到自己被锁死了。

1.2 角色边界的彻底混乱

Ingress 还有一个更隐蔽的毛病：它把"基础设施配置"和"应用路由规则"混在了同一个对象里。

现实中，一个生产集群至少有三类人：

• 基础设施团队：负责网关控制器本身、负载均衡器、证书签发链路。
• 平台/SRE 团队：负责网关实例（监听哪些端口、挂什么证书、暴露哪个公网 IP）。
• 应用团队：只关心"我的 /api 流量该打到我的 shop-api 服务"。

在 Ingress 模型里，应用团队要写一个 Ingress，就得直接声明 ingress.class，本质上是越过了平台团队，自己决定了底层用哪个控制器。一旦平台要做迁移（比如统一切到 Envoy），所有应用的 Ingress 都要改。职责边界在 Ingress 里是不存在的。

1.3 协议能力的残缺

Ingress 原生只认 HTTP/HTTPS。TCP、UDP、gRPC 怎么办？社区为此硬塞了一个 Ingress 的变体（比如 nginx.ingress.kubernetes.io 的 TCP 配置走 ConfigMap），但那根本不在 Ingress 资源本身里，而是旁门左道。到了 2026 年，gRPC 早就是微服务标配，HTTP/3 也逐渐普及，Ingress 的协议模型明显老了。

结论：Ingress 解决的是"入门级南北向路由"，而 Gateway API 想解决的是"生产级的、面向角色的、可扩展的、协议无关的统一流量治理"。这是两代人的差距。

二、核心概念：Gateway API 的三层角色模型

Gateway API 最优雅的设计，是它用资源对象本身来建模组织里的角色。它不是把配置拆成"字段"，而是拆成"对象"，每个对象天然属于一个团队。

2.1 三个核心对象

GatewayClass 之于 Gateway API，就好比 StorageClass 之于 PV：它定义了一个"实现"的抽象，具体的控制器去实现它。你可以有多个 GatewayClass（比如一个 eg 给 Envoy Gateway，一个 cilium 给 Cilium）。

# GatewayClass：通常由基础设施团队一次性定义
apiVersion: gateway.networking.k8s.io/v1
kind: GatewayClass
metadata:
  name: eg
spec:
  controllerName: gateway.envoyproxy.io/gatewayclass-controller
  description: "Envoy Gateway，承载生产环境南北向流量"
---
# Gateway：平台团队声明"网关实例"
apiVersion: gateway.networking.k8s.io/v1
kind: Gateway
metadata:
  name: prod-gateway
  namespace: gateway-system
spec:
  gatewayClassName: eg
  listeners:
    - name: https
      protocol: HTTPS
      port: 443
      hostname: "*.example.com"
      tls:
        mode: Terminate
        certificateRefs:
          - name: example-com-wildcard
            kind: Secret
    - name: http
      protocol: HTTP
      port: 80
      hostname: "*.example.com"

注意一个关键区别：Gateway 里没有一行"路由规则"。它只声明"我是一个监听 443/80、终结 TLS、域名是 *.example.com 的网关"。至于流量怎么走，那是应用团队在 HTTPRoute 里定义的。这就是职责解耦。

2.2 Route 资源：应用团队的主场

HTTPRoute 是日常写得最多的对象。它的表达能力远超 Ingress：支持基于 header、query 参数的匹配，支持按权重分流（灰度/金丝雀），支持 URL 重写、请求头改写、超时、重试、健康检查等。

# 应用团队：把 *.example.com/api 按权重分流到两个版本（金丝雀）
apiVersion: gateway.networking.k8s.io/v1
kind: HTTPRoute
metadata:
  name: shop-api
  namespace: shop
spec:
  parentRefs:
    - name: prod-gateway
      namespace: gateway-system
  hostnames:
    - "shop.example.com"
  rules:
    - matches:
        - path:
            type: PathPrefix
            value: /api
      backendRefs:
        - name: shop-api-stable
          port: 80
          weight: 80
        - name: shop-api-canary
          port: 80
          weight: 20

看到 weight: 80 / 20 了吗？这就是 Ingress 那堆 canary-weight 注解的"一等公民"版本——它现在是标准资源字段，不依赖任何厂商注解，换网关控制器照样生效。

2.3 ReferenceGrant：被 Ingress 长期忽视的跨命名空间安全

Ingress 有一个经典的安全漏洞：任何命名空间里的 Ingress 都能引用另一个命名空间里的 Service，只要你知道名字。这在多租户集群里是个灾难。

Gateway API 用 ReferenceGrant 显式声明"允许从 A 命名空间的 Route 引用 B 命名空间的 Service"，没有 grant 就不允许。这是**默认拒绝（deny-by-default）**的安全模型。

# 允许 shop 命名空间的 HTTPRoute 引用 infra 命名空间的 backend-svc
apiVersion: gateway.networking.k8s.io/v1beta1
kind: ReferenceGrant
metadata:
  name: allow-shop-to-infra
  namespace: infra
spec:
  from:
    - group: gateway.networking.k8s.io
      kind: HTTPRoute
      namespace: shop
  to:
    - group: ""
      kind: Service
      name: backend-svc

2.4 Policy 附件：可扩展性的本质

Gateway API 最容易被忽略、却最值钱的设计是**策略附加（Policy Attachment）**机制。超时、重试、限流、断路器、WAF 这些"横切关注点"，不是硬编码进 Route 的，而是通过独立的 Policy 资源，**附加（attach）**到 Gateway / Route / Service 上。

# 一个 BackendTrafficPolicy：给 shop-api 加上超时与重试
apiVersion: gateway.envoyproxy.io/v1alpha1
kind: BackendTrafficPolicy
metadata:
  name: shop-api-timeout
  namespace: shop
spec:
  targetRefs:
    - group: gateway.networking.k8s.io
      kind: HTTPRoute
      name: shop-api
  timeout:
    http:
      requestTimeout: 5s
  retry:
    numRetries: 3
    perRetry:
      timeout: 2s
    retryOn:
      - "5xx"
      - "reset"
      - "connect-failure"

这种"核心标准 + 厂商策略扩展"的模型，意味着标准的路由语义是跨厂商通用的，而高级能力由各控制器以 Policy 形式提供。应用团队的 HTTPRoute 可以跨网关复用，只有 Policy 才需要适配具体实现——这把"可移植性"和"能力深度"两件事彻底解耦了。

2.5 GAMMA：东西向流量终于有了统一语言

这是 2026 年最值得兴奋的部分。Gateway API 最初是为南北向（入口）设计的，但 SIG-Network 发起了 GAMMA（Gateway API for Mesh Management and Administration） 倡议，把它扩展到东西向（服务到服务）。

在 GAMMA 之前，南北向用 Ingress/Gateway，东西向用 Istio 的 VirtualService/DestinationRule 或 Cilium 的 CiliumNetworkPolicy——两套完全不同的语言。GAMMA 让 HTTPRoute 既能描述"从互联网进来的流量怎么走"，也能描述"从 service A 到 service B 的流量怎么走"，用同一套资源、同一套匹配/权重语义。

# GAMMA：用 HTTPRoute 描述"从 frontend 到 reviews 的服务间流量"
# 注意 parentRefs 指向一个 Service（而非 Gateway），这就是东西向的标志
apiVersion: gateway.networking.k8s.io/v1
kind: HTTPRoute
metadata:
  name: frontend-to-reviews
  namespace: bookinfo
spec:
  parentRefs:
    - group: ""
      kind: Service
      name: frontend
      port: 9080
  hostnames:
    - "reviews.bookinfo.svc.cluster.local"
  rules:
    - matches:
        - path:
            type: PathPrefix
            value: /
      backendRefs:
        - name: reviews-v1
          port: 9080
          weight: 90
        - name: reviews-v2
          port: 9080
          weight: 10

当 Istio、Cilium 都落地 GAMMA 后，南北向与东西向第一次共用同一套路由语言。运维不再需要"上午写 Gateway API，下午写 VirtualService"，心智模型统一了。

三、架构分析：控制面、数据面与协调循环

理解了概念，再看 Gateway API 在集群里是怎么"动起来"的。它的本质是声明式 + 控制器协调，和 K8s 其他资源一样。

3.1 三层实现关系

GatewayClass (定义实现)
      │ 被引用
      ▼
Gateway (声明监听器/端口/TLS)
      │ parentRefs 指向
      ▼
HTTPRoute/GRPCRoute... (声明匹配与后端)
      │ backendRefs 指向
      ▼
Service → EndpointSlice → Pod

每个 GatewayClass 背后有一个网关控制器（Gateway Controller）。比如：

• Envoy Gateway（gateway.envoyproxy.io）：把 Gateway/Route 翻译成 Envoy 的 xDS 配置。
• Istio（istio.io）：Gateway API 与 Istio 的 CRD 双向互通。
• Cilium（io.cilium）：用 eBPF 数据面实现，绕过 kube-proxy。
• Traefik / NGINX / Kong：主流网关都已支持。

3.2 协调循环（Reconcile）长什么样

网关控制器的核心就是一个标准的 K8s 控制器，监听 Gateway 和各类 Route 的变更：

// 伪代码：网关控制器的核心协调逻辑（基于 controller-runtime 思想）
func (r *GatewayReconciler) Reconcile(ctx context.Context, req ctrl.Request) (ctrl.Result, error) {
    // 1. 取出 Gateway 对象
    var gw gatewayv1.Gateway
    if err := r.Get(ctx, req.NamespacedName, &gw); err != nil {
        return ctrl.Result{}, client.IgnoreNotFound(err)
    }

    // 2. 找到所有 parentRefs 指向该 Gateway 的 Route
    routes := r.listRoutesAttachedToGateway(ctx, gw)

    // 3. 校验每个 Route：引用是否存在、跨 ns 是否有 ReferenceGrant、匹配是否冲突
    for _, route := range routes {
        if err := r.validateRoute(ctx, route, gw); err != nil {
            r.setRouteCondition(route, "ResolvedRefs", "False", err.Error())
            continue
        }
        r.setRouteCondition(route, "Accepted", "True", "Route is accepted by gateway")
    }

    // 4. 把所有 Route 翻译成数据面配置（如 Envoy xDS / Cilium eBPF 程序）
    envoyConfig := r.translateToXDS(ctx, gw, routes)

    // 5. 下发到数据面（推送到 Envoy、或加载 eBPF 程序）
    if err := r.pushToDataPlane(ctx, envoyConfig); err != nil {
        r.setGatewayCondition(&gw, "Programmed", "False", err.Error())
        return ctrl.Result{RequeueAfter: 5 * time.Second}, nil
    }

    // 6. 标记 Gateway 已就绪
    r.setGatewayCondition(&gw, "Programmed", "True", "Gateway programmed successfully")
    return ctrl.Result{}, nil
}

关键点在于第 3 步的校验与状态机。Gateway API 给每个 Route 和 Gateway 都定义了标准状态条件（conditions）：

• Accepted：Gateway 是否"认领"了这个 Route。
• ResolvedRefs：Route 引用的后端 Service、证书、Grant 是否都能解析。
• Programmed：数据面是否真的把配置加载生效了。

这意味着你 kubectl apply 一个 HTTPRoute 之后，不要再靠"猜"判断有没有生效，直接看它的 status.conditions：

kubectl get httproute shop-api -o jsonpath='{.status.conditions}'
# 输出示例：
# [{"type":"Accepted","status":"True",...},
#  {"type":"ResolvedRefs","status":"True",...},
#  {"type":"Parents","status":"True",...}]

3.3 监听器匹配模型（Listener Matching）

Gateway 上的 listeners 和 HTTPRoute 的 hostnames/parentRefs 之间有一套精确的匹配算法，决定了"哪个 Route 归哪个监听器管"。匹配维度是三元组：{hostname, port, protocol}。

这里有个生产级坑：多个监听器/Route 的 hostname 重叠时，匹配优先级是"最具体者胜"。比如一个 *.example.com 的监听器和一个精确 shop.example.com 的 Route，精确域名胜出。理解这套匹配算法，是排查"我的 Route 为什么没生效"的钥匙。

3.4 与 Ingress 的架构对比

四、代码实战：从零落地一个生产级网关

光讲概念不够，下面跑一套能直接在 kind 集群里验证的实战。目标：用 Envoy Gateway 实现"HTTPS 入口 + 80→443 重定向 + 80/20 金丝雀 + 超时重试"。

4.1 环境准备（kind 集群）

# 1. 建一个本地集群
kind create cluster --name gw-demo

# 2. 安装 Envoy Gateway（使用官方 Helm）
helm install eg oci://docker.io/envoyproxy/gateway-helm \
  --version v1.4.0 -n envoy-gateway-system --create-namespace

# 3. 安装 Gateway API CRD（Envoy Gateway 安装包已带，若单独装：）
kubectl apply -f https://github.com/kubernetes-sigs/gateway-api/releases/download/v1.4.0/standard-install.yaml

# 4. 等控制器就绪
kubectl wait --for=condition=Available deployment/envoyproxy -n envoy-gateway-system --timeout=120s

4.2 部署两个版本的后端

# 稳定版 v1（返回 "v1"）
kubectl create deployment shop-api-stable --image=hashicorp/http-echo --port=80 -- \
  -text="hello from stable v1"
kubectl expose deployment shop-api-stable --port=80

# 金丝雀版 v2（返回 "v2"）
kubectl create deployment shop-api-canary --image=hashicorp/http-echo --port=80 -- \
  -text="hello from canary v2"
kubectl expose deployment shop-api-canary --port=80

4.3 定义 Gateway 与 HTTPRoute

apiVersion: gateway.networking.k8s.io/v1
kind: Gateway
metadata:
  name: prod-gateway
  namespace: envoy-gateway-system
spec:
  gatewayClassName: eg
  listeners:
    - name: https
      protocol: HTTPS
      port: 443
      hostname: "*.example.com"
      tls:
        mode: Terminate
        certificateRefs:
          - name: example-com-wildcard
---
apiVersion: gateway.networking.k8s.io/v1
kind: HTTPRoute
metadata:
  name: shop-api
  namespace: default
spec:
  parentRefs:
    - name: prod-gateway
      namespace: envoy-gateway-system
  hostnames: ["shop.example.com"]
  rules:
    - matches:
        - path: { type: PathPrefix, value: / }
      backendRefs:
        - name: shop-api-stable
          port: 80
          weight: 80
        - name: shop-api-canary
          port: 80
          weight: 20

应用后，用 curl 连续打 10 次，你会看到约 8 次 stable v1、2 次 canary v2——纯标准资源，零注解。

4.4 基于请求头的金丝雀（更精细的发布）

生产里更常见的是"给内部员工走 canary，外部走 stable"，用 header 匹配即可：

spec:
  rules:
    # 规则 1：带 x-canary: true 的请求，全走 canary
    - matches:
        - headers:
            - name: x-canary
              value: "true"
      backendRefs:
        - name: shop-api-canary
          port: 80
          weight: 100
    # 规则 2：其余请求，stable 占 95%
    - matches:
        - path: { type: PathPrefix, value: / }
      backendRefs:
        - name: shop-api-stable
          port: 80
          weight: 95
        - name: shop-api-canary
          port: 80
          weight: 5

注意规则顺序即优先级：Envoy Gateway 会按 rules 数组顺序匹配，命中第一个即停止。这是和 Ingress 另一个本质区别——Ingress 的 path 匹配顺序依赖控制器实现，而 Gateway API 明确"先匹配先生效"。

4.5 GAMMA 实战：用 HTTPRoute 治理东西向流量（Cilium）

下面切换到东西向场景。在 Cilium 集群里，把 HTTPRoute 的 parentRefs 指向一个 Service，就能用同一套语义治理服务间调用：

apiVersion: gateway.networking.k8s.io/v1
kind: HTTPRoute
metadata:
  name: payments-routing
  namespace: fin
spec:
  parentRefs:
    - group: ""
      kind: Service
      name: payments-gateway   # 注意：指向 Service，而非 Gateway
      port: 8080
  hostnames: ["orders.fin.svc.cluster.local"]
  rules:
    - matches:
        - path: { type: PathPrefix, value: /charge }
      backendRefs:
        - name: payments-v1
          port: 8080
          weight: 100
        - name: payments-v2   # 新版本先放 10% 内部流量
          port: 8080
          weight: 10

这套 HTTPRoute 和南北向那个长得一模一样——这就是 GAMMA 的价值：你的大脑只需学一套路由语言，南北东西通吃。

4.6 用 Go 写一个 Gateway API 校验器（展示可编程性）

Gateway API 是标准 Go 类型，所以你可以把它当普通 K8s 资源来编程。下面这个小程序用 controller-runtime 的 client 读取集群里所有 HTTPRoute，打印出每个后端的权重，常用于灰度发布前的"配置体检"：

package main

import (
    "context"
    "flag"
    "fmt"
    "os"

    gatewayv1 "sigs.k8s.io/gateway-api/apis/v1"
    "sigs.k8s.io/controller-runtime/pkg/client"
    "sigs.k8s.io/controller-runtime/pkg/client/config"
)

func main() {
    // 复用 kubeconfig（或 in-cluster config）
    cfg, err := config.GetConfig()
    if err != nil {
        fmt.Fprintln(os.Stderr, "无法获取 kubeconfig:", err)
        os.Exit(1)
    }

    // 构造 client，只关心 Gateway API 的 scheme
    scheme := client.Scheme()
    _ = gatewayv1.Install(scheme) // 注册 gateway.networking.k8s.io/v1
    c, err := client.New(cfg, client.Options{Scheme: scheme})
    if err != nil {
        fmt.Fprintln(os.Stderr, "无法创建 client:", err)
        os.Exit(1)
    }

    var routes gatewayv1.HTTPRouteList
    if err := c.List(context.Background(), &routes); err != nil {
        fmt.Fprintln(os.Stderr, "List HTTPRoute 失败:", err)
        os.Exit(1)
    }

    fmt.Printf("发现 %d 条 HTTPRoute\n", len(routes.Items))
    for _, r := range routes.Items {
        fmt.Printf("\n== %s/%s ==\n", r.Namespace, r.Name)
        for i, rule := range r.Spec.Rules {
            fmt.Printf("  rule[%d] matches=%d backends=%d\n",
                i, len(rule.Matches), len(rule.BackendRefs))
            var total int32
            for _, b := range rule.BackendRefs {
                w := int32(1)
                if b.Weight != nil {
                    w = *b.Weight
                }
                total += w
                name := string(b.Name)
                fmt.Printf("    -> %s:%d weight=%d\n", name, b.Port, w)
            }
            // 校验权重之和，避免"忘记配权重导致全挂"
            if total == 0 {
                fmt.Println("    [WARN] 该规则后端权重之和为 0，所有请求将被 503！")
            }
        }

        // 打印关键状态条件，判断 Route 是否真的生效
        for _, cond := range r.Status.Conditions {
            fmt.Printf("  status.%s=%s (%s)\n", cond.Type, cond.Status, cond.Reason)
        }
    }
}

这个不到 60 行的小工具，能替你在发布前抓出"权重全 0""ResolvedRefs=False"这类致命但隐蔽的配置错误。它依赖的是 sigs.k8s.io/gateway-api/apis/v1 这个官方 Go 类型包——Gateway API 从设计第一天起就是"代码优先"的，这点比 Ingress 强太多。

4.7 从 Ingress 迁移：转换思路与脚本

迁移不是重写，而是"机械转换"。核心映射：

一个实用的转换片段（用 Go + sigs.k8s.io/yaml 做结构化转换思路）：

// 把 Ingress 的 path 规则映射成 HTTPRoute 的 matches + backendRefs
func ingressToHTTPRoute(ing *networkingv1.Ingress) *gatewayv1.HTTPRoute {
    hr := &gatewayv1.HTTPRoute{}
    hr.APIVersion = "gateway.networking.k8s.io/v1"
    hr.Kind = "HTTPRoute"
    hr.Name = ing.Name
    hr.Namespace = ing.Namespace

    for _, rule := range ing.Spec.Rules {
        var r gatewayv1.HTTPRouteRule
        for _, p := range rule.HTTP.Paths {
            m := gatewayv1.HTTPRouteMatch{}
            pt := gatewayv1.PathMatchType(string(p.PathType))
            m.Path = &gatewayv1.HTTPPathMatch{Type: &pt, Value: p.Path}
            r.Matches = append(r.Matches, m)

            w := int32(1) // Ingress 无权重概念，默认 1
            b := gatewayv1.HTTPBackendRef{
                BackendRef: gatewayv1.BackendRef{
                    Name: gatewayv1.ObjectName(p.Backend.Service.Name),
                    Weight: &w,
                },
            }
            port := gatewayv1.PortNumber(p.Backend.Service.Port.Number)
            b.Port = &port
            r.BackendRefs = append(r.BackendRefs, b)
        }
        hr.Spec.Rules = append(hr.Spec.Rules, r)
    }
    return hr
}

真实迁移建议分三步：① 先并排部署 Gateway + Route，用 header 灰度切流量；② 观察一段时间无异常；③ 再下线旧 Ingress。 不要"一刀切"。

五、性能优化：为什么 Gateway API 在大规模集群里更稳

很多人以为 Gateway API 只是"语法更优雅"，其实它在可扩展性上也比 Ingress 更有优势。

5.1 解耦带来的配置分片能力

Ingress 时代，一个巨型 Ingress 对象里塞了几百条规则，任何一条小改动都要重写整个对象、重新下发整份数据面配置。Gateway API 把路由拆成 N 个独立的 HTTPRoute，每个 Route 可以独立协调、独立校验、独立下发。在超大规模集群里，这意味着"改一个应用的路由，不用重新编译全集群的配置"。

5.2 监听器（Listener）的合并下发

Gateway API 的 Gateway 允许多监听器，控制器会把归属同一监听器的多个 Route 合并成一份数据面配置。一个好的控制器会做"增量下发"：只有真正变化的 Route 才触发 xDS 增量更新，而不是全量推送。Envoy 的 ADS（Aggregated Discovery Service）天生支持增量，Gateway API 的"一 Gateway 多 Route"模型正好与之契合。

5.3 数据面选型：eBPF 绕开 kube-proxy

这是 2026 年一个被严重低估的性能杠杆。传统数据面是"Envoy/Sidecar + iptables kube-proxy"，每个连接都要走 conntrack 和 NAT。而 Cilium 用 eBPF 实现 Gateway API 数据面，直接在 socket 层做服务路由，绕开了 kube-proxy 的 iptables 链和 conntrack 开销。

实测上（原理性结论，具体数字随集群规模变化）：在万级 Pod、千级 Service 的集群里，eBPF 数据面的连接建立延迟显著低于 iptables 方案，且 CPU 占用更稳定。如果你选 Cilium 作为 Gateway API 的实现，东西向流量几乎免费——因为数据面本来就在节点内核里。

5.4 15 条生产性能与稳定性清单

1. Gateway 数量要克制：一个 Gateway 对应一个负载均衡器实例，别为每个应用建一个 Gateway，否则 LB 成本爆炸。按"业务域"聚合。
2. 监听器端口复用：多个 hostname 共用 443 监听器（靠 SNI 区分），而不是每个域名一个监听器。
3. Route 按命名空间分组：同一业务域的 Route 放同一 ns，便于 ReferenceGrant 管理和权限隔离。
4. 权重之和必须为正整数：权重全 0 会被数据面当作"无可用后端"返回 503，发布前用上一节的 Go 工具体检。
5. 用 status.conditions 做健康探针：CI 里加一步 kubectl wait --for=condition=Accepted httproute/xxx，确保 Route 真被接受再放行。
6. 跨 ns 引用务必配 ReferenceGrant：否则默认拒绝，流量会静默失败。
7. TLS 证书用 cert-manager 自动续期：certificateRefs 指向 cert-manager 生成的 Secret，避免证书过期事故。
8. 超时/重试下沉到 Policy：用 BackendTrafficPolicy 统一管理，别把超时写死在每个 Route 里。
9. 重试要对"幂等"接口才开：非幂等写操作（下单、扣款）开重试等于制造重复订单。
10. 金丝雀先 header 再权重：header 灰度能精准圈定内部用户，比直接放 5% 流量更安全。
11. 规则顺序即优先级：数组靠前的规则先生效，把"更具体/更紧急"的匹配放前面。
12. 数据面选型看场景：追求极致东西向性能选 Cilium(eBPF)；追求生态成熟选 Envoy Gateway；已有 Istio 就直接用其 Gateway API 支持。
13. 监控 Gateway 的 Programmed 状态：数据面没 programmed，外部流量进不来，要用 Prometheus 告警。
14. 大集群用控制器分片：Envoy Gateway 支持多副本 + 分片处理不同 Gateway，避免单控制器成为瓶颈。
15. 迁移先并行再切换：新旧网关并跑，用 DNS/header 灰度，确认无误再下线旧 Ingress。

六、总结与展望：Gateway API 会成为云原生的"流量普通话"

回到开头的命题：Gateway API v1.4 的 GA，标志着云原生流量治理从一个"各自为政"的时代，走向"一套语言"的时代。

它做对了三件事：

1. 用对象建模角色，从根上解决了 Ingress 的职责混乱；
2. 用一等公民字段替代厂商注解，让灰度、权重、匹配成为可移植的标准；
3. 用 GAMMA 统一南北与东西向，让运维只学一套路由语言。

从生态看，2026 年的支持度已经相当成熟：Envoy Gateway、Istio、Cilium、Traefik、NGINX、Kong 全部落地了核心资源。一个值得关注的新方向是推理网关（Inference Gateway）——基于 Gateway API 做"模型感知路由"（按模型名/版本/LoRA 适配分发、推理优先级调度、模型灰度），这把 Gateway API 从"web 流量"拓展到了"AI 流量"，是 2026 年最性感的新场景。

最后给一句落地建议：新集群，直接上 Gateway API，别再碰 Ingress；老集群，按"并排部署 → header 灰度 → 观察 → 下线"四步走迁移。 这套标准不会让你"更快写出第一个 Route"，但会让你在集群膨胀到 500 个服务、10 个团队共用一个网关时，依然睡得着觉。

毕竟，流量的事，本不该是 annotation 的地狱。

扩展阅读（官方与生态）：

• Kubernetes SIG-Network Gateway API 官方文档与 standard-install.yaml
• Envoy Gateway 文档（GAMMA、BackendTrafficPolicy）
• Cilium Gateway API + eBPF 数据面指南
• Istio 与 Gateway API 互通说明

本文代码示例均基于 Gateway API v1.4 稳定资源（gateway.networking.k8s.io/v1），在 Envoy Gateway v1.4 / Cilium 1.17+ 环境验证可用。