Как заводится внешний трафик в кластер: Ingress, контроллер и TLS?

Ingress — это описание правил маршрутизации HTTP: какой домен и путь ведут на какой Service. Сам по себе он ничего не делает — работу выполняет ingress-контроллер (nginx, Traefik, контроллер балансировщика провайдера), который читает эти объекты и настраивает реальный балансировщик. Он же обычно терминирует TLS: сертификат лежит в Secret, а cert-manager автоматически выпускает и продлевает его через Let's Encrypt. Одного контроллера хватает на десятки сервисов — это дешевле, чем отдельный балансировщик на каждый. Более новая замена Ingress с расширенными возможностями — Gateway API.