и порт чисто 80

В access-логах есть инфа о том, что ты получил 400 при обращении?

да

client sent invalid request while reading client request line

Если это сервис типа LoadBalancer в облаке, то он может быть реализован так, как сделал облачный провайдер (отдельная железка, например). Поэтому возможны особенности. Имеет смысл запустить tcpdump в поде с ingress controller и поглядеть что именно прилетает через LB

и 400 следом

мм, сравню два пакета

Вот еще сюда, кстати, можно обратиться: https://t.me/kubernetes_ru. Я туда как-то задавал вопросы, мне быстро помогли найти куда копать. Если Lucky SB еще ответит - вообще шикарно. Кажется, у этого человека в багаже опыта есть буквально каждая проблема с k8s. Дает очень точные советы вплоть до подробных инструкций что делать =)

про этот чатик я знаю, ага

Хочется контейнеризации очень малыми ресурсами типа systemd-nspawn, но непонятно как в него регулярный деплой делать. Что ещё можно посмотреть или может ткнёте носом как бы православно деплоить в systemd-nspawn?

Докер брать не хочется, потому что это минус 150-300 мегабайт из системы. Однако, собираю контейнеры его силами, ибо проще всего.

Внимание реклама:
https://github.com/eldadru/ksniff
прям огонь штука, одной рукой пользуюсь, второй слёзы счастья вытираю

будто LB режет пакет, а nginx этого не понимает =(
Хотя даже сумма length меньше того что напрямую был

Я бы ещё поточнее сравнил пакеты с GET /login HTTP/1.1. Может LB добавляет какие-то заголовки или значения в них меняет

да вроде ничего такого

Hypertext Transfer Protocol
    GET /login HTTP/1.1\r\n
        [Expert Info (Chat/Sequence): GET /login HTTP/1.1\r\n]
            [GET /login HTTP/1.1\r\n]
            [Severity level: Chat]
            [Group: Sequence]
        Request Method: GET
        Request URI: /login
        Request Version: HTTP/1.1
    Host: example.com\r\n
    Connection: keep-alive\r\n
    Upgrade-Insecure-Requests: 1\r\n
    User-Agent: Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/90.0.4430.85 Safari/537.36\r\n
    Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9\r\n
    Accept-Encoding: gzip, deflate\r\n
    Accept-Language: ru-RU,ru;q=0.9\r\n
    \r\n
    [Full request URI: http://example.com/login]
    [HTTP request 1/1]
    [Response in frame: 8]

и это не длинна пакета, ибо курлом тож самое, а длинна там маленькая, но пакета всё равно два

Насчёт заголовков - это я зря, маловероятно, что LB работает на L7. Но вот этот Continuation смущает. Если я правильно прочитал лог, то в случае LB у тебя после установки TCP соединения приходит сначала Continuation, а только потом GET. Причём Continuation от клиента (или от балансировщика, ведь 10.0.0.18 - это адрес балансировщика со стороны кластера?)

10.0.0.18 это адрес воркер ноды

там же сервис у ингресс-контроллера, балансировщик балансит на nodeport  воркеров

nodeport он видимо получил от сервиса через анотацию

я уже даже проверил, повешал на ноду белый ip, и по ip:nodeport всё ок