Kubernetes部署中容器端口与应用端口是否必须一致？

首先纠正核心误解：Deployment中的containerPort仅为元数据声明，并非强制的端口绑定规则，它不直接决定流量能否到达应用。你测试中出现的“仅当二者一致时才可访问”的现象，本质是因为你的Service未指定targetPort，导致默认将流量转发到与Serviceport相同的端口（80），但容器内应用实际监听的是8080端口，二者不匹配才导致访问失败。

问题1：容器端口与应用端口不同时，如何正常连接？ #

完全可以实现，核心是在Service配置中明确指定targetPort为应用实际监听的端口（即容器内的8080端口），与Deployment的containerPort无关。

修改你的AWS NLB Service配置如下：

apiVersion: v1
kind: Service
metadata:
  name: echoserver-lb
  namespace: staging
  annotations:
    service.beta.kubernetes.io/aws-load-balancer-type: external
    service.beta.kubernetes.io/aws-load-balancer-nlb-target-type: ip
    service.beta.kubernetes.io/aws-load-balancer-scheme: internet-facing
spec:
  type: LoadBalancer
  ports:
  - port: 80               # Service在集群内部暴露的端口
    targetPort: 8080       # 容器内应用实际监听的端口（关键配置）
  selector:
    run: echoserver

此时无论Deployment的containerPort填写80、8080还是其他值（建议尽量填写准确的元数据，方便集群管理），流量都能正常转发到应用的8080端口。

如果使用NodePort类型的Service，同样只需指定targetPort：

spec:
  type: NodePort
  ports:
  - port: 80
    targetPort: 8080
    nodePort: 30000  # 可选，不指定则由K8s自动分配可用端口

问题2：K8s的containerPort与Docker的容器端口有何区别？ #

二者的核心定位完全不同：

• Docker的容器端口：通过docker run -p 宿主机端口:容器端口指定的容器端口是实际的端口映射规则，这个端口必须与容器内应用监听的端口一致，否则外部无法通过映射的宿主机端口访问应用。Docker的端口映射直接完成了宿主机到容器端口的流量转发。
• K8s的containerPort：仅为描述性元数据，作用是告知K8s集群“该容器内的应用监听此端口”，方便集群内服务发现、监控工具识别，或使用kubectl expose命令时自动生成Service的默认端口。它不会主动进行任何端口转发或绑定，即使填写错误也不会影响Service的流量转发逻辑（只要Service的targetPort配置正确）。

简言之：Docker的容器端口是流量转发的实际目标，必须与应用端口一致；K8s的containerPort只是说明标签，与流量转发无关，真正的转发目标由Service的targetPort决定。

内容的提问来源于stack exchange，提问作者john_smith