MicroK8s中配置外部访问OPC服务TCP端口4840失败排查

核心原因 #

• Ingress默认不兼容OPC UA协议：主流K8s Ingress控制器（比如MicroK8s自带的nginx-ingress）是为HTTP/HTTPS流量设计的，而OPC UA使用的是基于TCP的二进制私有协议（opc.tcp://），Ingress无法正确解析和转发这类非HTTP流量，导致上游Pod拒绝连接。
• TCP端口未在Ingress控制器层面做映射：即使Ingress资源配置了端口，若没在Ingress控制器的ConfigMap中声明TCP端口转发规则，控制器不会处理该端口的流量。

解决方法 #

方法1：改用NodePort Service直接暴露（最简单方案） #

NodePort专门用于暴露TCP/UDP服务，适合OPC UA这类非HTTP场景：

1. 修改原有ClusterIP Service为NodePort类型：

   apiVersion: v1
   kind: Service
   metadata:
     name: opc-server-service
     namespace: jawcrusher
   spec:
     type: NodePort
     selector:
       app: opc-server # 需匹配Deployment的Pod标签
     ports:
       - port: 4840
         targetPort: 4840
         nodePort: 30480 # 可选，不填则自动分配30000-32767范围内的端口
   

2. 外部客户端通过opc.tcp://<MicroK8s节点IP>:30480直接访问。

方法2：配置Nginx Ingress转发TCP流量（坚持用Ingress时） #

需要在Ingress控制器层面添加TCP端口映射规则：

1. 编辑Ingress的TCP配置ConfigMap：

   kubectl edit configmap nginx-ingress-tcp-microk8s-conf -n ingress
   

2. 在data字段中添加端口映射规则，格式为外部端口:命名空间/服务名:服务端口：

   data:
     4840: "jawcrusher/opc-server-service:4840"
   

3. 重启nginx-ingress控制器Pod使配置生效：

   kubectl rollout restart deployment nginx-ingress-microk8s-controller -n ingress
   

4. 确保Ingress控制器的Service已暴露4840端口（若未配置需添加）：

   apiVersion: v1
   kind: Service
   metadata:
     name: nginx-ingress-microk8s-controller
     namespace: ingress
   spec:
     ports:
       - name: tcp-4840
         port: 4840
         targetPort: 4840
         protocol: TCP
   

5. 外部客户端通过opc.tcp://<MicroK8s节点IP>:4840访问。

方法3：使用LoadBalancer Service（有外部负载均衡环境时） #

如果运行MicroK8s的环境支持LoadBalancer（比如公有云），可直接配置：

apiVersion: v1
kind: Service
metadata:
  name: opc-server-service
  namespace: jawcrusher
spec:
  type: LoadBalancer
  selector:
    app: opc-server
  ports:
    - port: 4840
      targetPort: 4840

客户端使用负载均衡器分配的公网IP和4840端口访问。

内容的提问来源于stack exchange，提问作者Viktor Eriksson