macOS Docker Desktop上Minikube的Kubernetes外部IP访问失败求助

问题背景 #

在macOS的Docker Desktop上通过Minikube运行Kubernetes，尝试通过外部IP访问NodePort类型的服务失败，此前参考旧方案无效，现提供环境信息求助。

版本信息 #

kubectl version

Client Version: v1.29.0
Kustomize Version: v5.0.4-0.20230601165947-6ce0bf390ce3
Server Version: v1.28.3

minikube version

minikube version: v1.32.0

docker version

Client:
 Cloud integration: v1.0.35+desktop.5
 Version:           24.0.7
 API version:       1.43
 Go version:        go1.20.10
 Git commit:        afdd53b
 Built:             Thu Oct 26 09:04:20 2023
 OS/Arch:           darwin/arm64
 Context:           desktop-linux

Server: Docker Desktop 4.26.1 (131620)
 Engine:
  Version:          24.0.7
  API version:      1.43 (minimum version 1.12)
  Go version:       go1.20.10
  Git commit:       311b9ff
  Built:            Thu Oct 26 09:08:15 2023
  OS/Arch:          linux/arm64
  Experimental:     false
 containerd:
  Version:          1.6.25
  GitCommit:        d8f198a4ed8892c764191ef7b3b06d8a2eeb5c7f
 runc:
  Version:          1.1.10
  GitCommit:        v1.1.10-0-g18a0cb0
 docker-init:
  Version:          0.19.0
  GitCommit:        de40ad0

服务配置 #

使用NodePort类型Service，Pod和Service运行正常，配置清单：

kind: Service
apiVersion: v1
metadata:
  name: web-service
  namespace: default
  uid: c5e8ffa5-ac4a-4db0-a692-a1e92c048280
  resourceVersion: '12791'
  creationTimestamp: '2024-01-02T18:51:05Z'
  labels:
    app: nginx
  managedFields:
    # ignore data 
spec:
  ports:
    - protocol: TCP
      port: 80
      targetPort: 80
      nodePort: 31856
  selector:
    app: nginx
  clusterIP: 10.111.115.68
  clusterIPs:
    - 10.111.115.68
  type: NodePort
  sessionAffinity: None
  externalTrafficPolicy: Cluster
  ipFamilies:
    - IPv4
  ipFamilyPolicy: SingleStack
  internalTrafficPolicy: Cluster
status:
  loadBalancer: {}

问题现象 #

• 执行minikube ip得到192.168.49.2，本地curl 192.168.49.2:31856超时无响应；
• 通过minikube ssh进入节点后，执行相同curl命令可成功；
• 用kubectl port-forward --address 0.0.0.0 service/web-service 80:80转发后，本地curl localhost:80成功，但curl 192.168.49.2:80仍无响应。

推测问题出在Docker Desktop网络配置，求可行解决方案。

解决方案 #

针对macOS Docker Desktop环境下Minikube NodePort无法从本地访问的问题，可按以下步骤排查解决：

1. 切换Minikube驱动（推荐长期方案） #

Docker驱动下Minikube的内部网络默认隔离宿主机，切换到hyperkit驱动可直接打通网络：

# 删除现有集群
minikube delete
# 用hyperkit驱动启动集群
minikube start --driver=hyperkit

重新部署服务后，用minikube ip获取节点IP，直接访问[节点IP]:31856即可。

2. 使用Minikube Tunnel（快速临时方案） #

Minikube Tunnel可将Service的ClusterIP直接暴露到宿主机网络：

# 新开终端执行，保持进程运行
minikube tunnel

执行后查看Service的外部IP：

kubectl get service web-service

此时EXTERNAL-IP字段会显示宿主机可访问的地址，直接用该地址加Service的80端口访问即可。

3. 手动配置Docker端口转发 #

若坚持使用Docker驱动，可手动添加端口映射规则：

# 获取Minikube容器ID
docker ps | grep minikube
# 添加端口转发，将宿主机31856端口映射到Minikube节点的31856端口
docker run -it --rm --privileged --pid=host alpine nsenter -t 1 -m -u -n -i iptables -t nat -A PREROUTING -p tcp --dport 31856 -j DNAT --to-destination 192.168.49.2:31856

配置完成后，本地可通过localhost:31856或宿主机IP:31856访问服务。

4. 检查防火墙设置 #

macOS自带防火墙可能拦截请求，临时关闭测试：

sudo /usr/libexec/ApplicationFirewall/socketfilterfw --setglobalstate off

若测试成功，可在系统设置-网络-防火墙中添加Minikube或Docker的允许规则。

内容的提问来源于stack exchange，提问作者Hoang