无Selector的Kubernetes Service执行kubectl proxy未按预期失败排查

首先要纠正一个关键的命令使用错误：你执行的kubectl proxy my-service是不符合语法的。kubectl proxy命令本身不需要传入Service名称，它的作用是启动一个本地代理服务，将请求转发到Kubernetes API Server，而非直接代理指定的Service。你真正需要测试的场景应该是：

• 先执行kubectl proxy启动本地代理
• 访问API Server提供的Service代理路径，比如：http://localhost:8001/api/v1/namespaces/default/services/my-service/proxy/

按照官方文档的说明，此时API Server会校验Service后端端点的合法性：只有当端点对应集群内的Pod时，代理请求才会被转发；而你手动配置的10.1.2.3、10.4.5.6这类外部IP不属于任何Pod，访问这个路径应该返回错误。

如果你只是执行了kubectl proxy my-service，实际上命令会忽略多余的参数，正常启动本地代理（这就是你觉得“未失败”的原因），但这个操作根本没有触发对Service端点的代理逻辑，自然不会出现文档中描述的失败情况。

另外，确认你的Service和EndpointSlice配置是符合规范的：

• Service无Selector，配置正确
• EndpointSlice的kubernetes.io/service-name标签与Service名称匹配，端口和地址配置也无误

总结：问题出在你测试的命令和方式不符合预期场景，正确的测试应该是启动代理后访问Service的API代理路径，此时才会触发API Server对非Pod端点的拦截。

内容的提问来源于stack exchange，提问作者gaurang101197