K8s Service端口映射机制解析及Kind环境下30755端口疑问

核心端口角色与完整映射链路 #

先明确你配置中所有端口的定位：

• Pod的targetPort: 8080：容器内部实际提供服务的端口，agnhost程序直接监听此端口，Kubernetes的Endpoint资源直接指向这个端口，是服务的最底层入口。
• Service的port: 5678：Service在集群内部暴露的虚拟端口，集群内其他Pod访问服务时使用此端口，kube-proxy会通过规则将该端口的流量转发到后端Pod的8080端口。
• 你看到的30755：这是NodePort，是kube-proxy在Kind集群节点（即Docker容器模拟的K8s节点）上开放的物理端口，是LoadBalancer服务实现的中间转发节点。

为什么会出现NodePort？ #

Kind本质是用Docker容器模拟Kubernetes集群，没有云厂商提供的真实LoadBalancer支持。kind-cloud-provider实现LoadBalancer服务的逻辑是：

1. 当创建LoadBalancer类型的Service时，kube-proxy会自动从默认NodePort端口范围（30000-32767）分配一个NodePort（即30755），用于在集群节点层面接收外部流量。
2. kind-cloud-provider随后在宿主机（你的本地机器）上绑定一个随机端口（即你使用的63238），将宿主机该端口的流量转发到Kind节点的NodePort（30755）上。
3. 最终完整流量路径：本地机器:63238 → Kind节点:30755 → Service:5678 → Pod:8080

30755的具体作用 #

这个NodePort是集群节点的流量入口：

• 它是kube-proxy在Kind节点容器上开启的端口，专门负责接收由kind-cloud-provider转发过来的外部流量，再将流量转发到Service的虚拟端口5678。
• 因为Kind中LoadBalancer服务的实现依赖「NodePort + 宿主机端口转发」的组合，所以这个NodePort是整个流量链路中不可或缺的中间转发节点。

验证端口关联的命令 #

你可以通过以下命令确认各端口的关联关系：

• 查看Service的NodePort分配：

kubectl describe service foo-service

输出中会看到NodePort: <unset> 30755/TCP字段，明确该端口的分配信息。

• 查看宿主机与Kind节点的端口映射：

docker inspect kind-control-plane | grep -A5 -B5 30755

会看到宿主机63238端口与Kind节点30755端口的映射规则。

流量路径总结 #

本地浏览器访问 http://localhost:63238
          ↓
宿主机Docker端口转发：63238 → Kind节点的30755
          ↓
Kind节点kube-proxy转发：30755 → Service的5678
          ↓
Service规则转发：5678 → 后端Pod的8080
          ↓
Pod内agnhost服务响应请求

内容的提问来源于stack exchange，提问作者Julien