使用端口转发从外部访问K8S Pod遇连接拒绝问题排查

两者功能完全不同，具体区别和你的问题原因如下：

1. kubectl port-forward的默认行为 #

执行kubectl port-forward -n dhiwakar my-app 9200:7200时，该命令默认只将端口绑定到localhost（127.0.0.1）：

• 本质是通过kubectl与K8S API服务器建立加密隧道，仅将NODE4本地的9200端口流量转发到目标Pod的7200端口
• 不会在NODE4的外部网卡上监听9200端口，因此NODE5无法通过NODE4的IP访问该端口

如果需要让外部机器（比如NODE5）访问，需显式指定绑定地址：

kubectl port-forward -n dhiwakar --address 0.0.0.0 my-app 9200:7200

也可以指定特定IP（比如NODE4的对外IP或NODE5的IP）来限制访问范围：

kubectl port-forward -n dhiwakar --address 192.168.1.100,192.168.1.105 my-app 9200:7200

2. Docker发布端口的行为 #

Docker的docker run -p 9200:7200 ...命令默认会将端口绑定到0.0.0.0（所有网卡）：

• 它是将容器内部的7200端口直接映射到宿主机（NODE4）的所有网络接口上，宿主机的9200端口会对外监听，因此NODE5能通过NODE4的IP访问
• 本质是宿主机层面的端口映射，和K8S集群的API服务器无关

内容的提问来源于stack exchange，提问作者Dhiwakar Ravikumar