使用kubectl端口转发时出现连接拒绝错误的排查与解决

核心原因 #

错误日志里的dial tcp4 127.0.0.1:8080: connect: connection refused说明：kubectl尝试连接Pod内部的127.0.0.1:8080时被拒绝，本质是Pod内的Web服务没在这个地址端口上提供服务，常见场景包括：

• 服务未启动或启动失败
• 服务仅监听Pod内部的私有IP（而非0.0.0.0/所有地址）
• 服务监听的端口不是8080
• Service的targetPort配置与服务实际端口不匹配

解决步骤 #

1. 验证Pod内服务的监听状态 #

先确认Pod里的服务到底在不在监听8080端口：

• 进入Pod执行端口检查命令（选其一即可）：

  # 用netstat（若容器内已安装）
  kubectl exec -n egov 7e969af36dc4ec6696936a7f052ef75c10e1c73425633c07b6bea37cd25e0441 -- netstat -tulpn
  
  # 用ss（更通用）
  kubectl exec -n egov 7e969af36dc4ec6696936a7f052ef75c10e1c73425633c07b6bea37cd25e0441 -- ss -tulpn
  

• 检查输出中是否有LISTEN状态的0.0.0.0:8080或PodIP:8080：
  • 如果只有127.0.0.1:8080：说明服务仅允许Pod内部进程访问，外部（包括port-forward的转发请求）无法连接
  • 如果完全没有8080的监听记录：说明服务未启动或监听了其他端口

2. 检查服务启动状态与日志 #

• 查看Pod的运行状态，确认容器是否就绪：

  kubectl get pods -n egov
  

  确保目标Pod的READY列显示为1/1（单容器场景），如果是0/1说明容器未正常启动。
• 查看Pod日志排查启动问题：

  kubectl logs -n egov 7e969af36dc4ec6696936a7f052ef75c10e1c73425633c07b6bea37cd25e0441
  

  重点找端口占用、配置错误、依赖缺失等启动失败的日志信息。

3. 调整服务的监听地址（若仅监听127.0.0.1） #

如果服务仅监听127.0.0.1，需要修改服务启动参数，让它监听所有地址（0.0.0.0），不同技术栈的配置示例：

• Java Spring Boot：添加启动参数--server.address=0.0.0.0
• Python Flask：修改启动代码为app.run(host='0.0.0.0', port=8080)
• Node.js Express：修改监听代码为app.listen(8080, '0.0.0.0')
  修改后重新构建镜像或更新Deployment，重启Pod。

4. 验证Service的端口配置 #

确认Service的targetPort是否与服务实际监听的端口一致：

kubectl get svc egov-user -n egov -o yaml

查看spec.ports[].targetPort的值，如果不是8080，需要调整port-forward命令的目标端口，例如targetPort是80的话，命令改为：

kubectl port-forward svc/egov-user 8080:80 -n egov

内容的提问来源于stack exchange，提问作者Kushagra S