如何在不全局暴露端口的情况下，将特定ReplicaSet的RESTful本地请求路由/转发至另一ReplicaSet

这问题我熟，咱们一步步来搞定！核心思路是用标签隔离+Sidecar代理，既能实现本地端口转发，又能精准把流量锁定到ReplicaSet B，完全避开C。

1. 给ReplicaSet B创建专属Service（核心：标签隔离） #

首先得给ReplicaSet B的Pod打上唯一专属标签，比如app=backend-b（千万别和ReplicaSet C的标签重复）。然后创建一个Service，只匹配这个标签——这是避免流量跑到C的关键。

示例Service YAML：

apiVersion: v1
kind: Service
metadata:
  name: backend-b-service
spec:
  selector:
    app: backend-b  # 必须和ReplicaSet B的Pod标签完全一致
  ports:
    - protocol: TCP
      port: 8080        # Service对外暴露的端口
      targetPort: 8080  # 转发到B的Pod的监听端口

2. 在ReplicaSet A的Pod中添加Sidecar做本地端口转发 #

因为A的Pod是往localhost:9000发请求，咱们需要在A的Pod里加一个Sidecar容器，把localhost:9000的流量转发到刚才创建的backend-b-service:8080。这里用轻量的nginx做反向代理，配置简单又直观。

示例ReplicaSet A的YAML（重点看Sidecar部分）：

apiVersion: apps/v1
kind: ReplicaSet
metadata:
  name: replicaset-a
spec:
  replicas: 3
  selector:
    matchLabels:
      app: app-a
  template:
    metadata:
      labels:
        app: app-a
    spec:
      containers:
        # 你的业务容器（原来的A的Pod容器）
        - name: app-a-container
          image: your-app-a-image:latest
          # ... 其他业务相关配置

        # 新增的Sidecar容器：负责转发localhost:9000到目标Service
        - name: proxy-sidecar
          image: nginx:alpine
          ports:
            - containerPort: 9000
          volumeMounts:
            - name: nginx-config
              mountPath: /etc/nginx/conf.d/
      volumes:
        - name: nginx-config
          configMap:
            name: proxy-config

---
# 配套的ConfigMap，存储nginx转发规则
apiVersion: v1
kind: ConfigMap
metadata:
  name: proxy-config
data:
  default.conf: |
    server {
      listen 9000;
      location / {
        proxy_pass http://backend-b-service:8080;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        # 可选：只允许POST请求，符合你的需求场景
        if ($request_method != POST) {
          return 405;
        }
      }
    }

3. 为什么不会转发到ReplicaSet C？ #

咱们的backend-b-service通过标签选择器app=backend-b，只会匹配ReplicaSet B的Pod。哪怕ReplicaSet C也监听8080端口，只要它的Pod标签和B不一样（比如app=backend-c），Service就绝对不会把流量路由到C的Pod上，完美实现隔离。

验证方法 #

等所有资源部署完成后，你可以进入A的Pod测试：

# 进入A的业务容器
kubectl exec -it <a-pod-name> -c app-a-container -- bash

# 发送POST请求到localhost:9000
curl -X POST http://localhost:9000/your-endpoint -d "test-data"

然后查看B的Pod日志，就能看到请求已经成功到达；而ReplicaSet C的日志里不会有任何相关记录。

内容的提问来源于stack exchange，提问作者flyingwizard