K8s中NodePort暴露WebAPI仅内网可访问，如何实现公网访问？

一、当前无法通过节点公网IP访问NodePort服务的原因 #

排查方向集中在以下几点：

• kube-proxy绑定范围限制：若kube-proxy采用iptables模式，默认可能仅绑定节点私网IP。检查kube-proxy的nodePortAddresses配置，若指定了私网IP段，会导致NodePort不监听公网IP。
• 节点操作系统防火墙未放行：云安全组规则生效后，VM内部的防火墙（如iptables、firewalld）可能未允许30000端口的公网入站流量。
• 集群初始化IP配置限制：kubeadm初始化时若指定--apiserver-advertise-address或kube-proxy的--node-ip为私网IP，会导致NodePort服务仅绑定私网地址。

二、是否应该继续使用NodePort #

完全可以继续使用NodePort，这是无云厂商负载均衡时，通过节点公网IP暴露服务的标准方案。它配置简单、无需额外组件，适合小规模集群或测试场景，只要解决上述绑定/防火墙问题即可正常使用。

三、其他简易暴露方式 #

• HostPort直接映射：在Pod的容器端口配置hostPort: 30000，让容器端口直接绑定节点30000端口。但缺点是每个节点只能运行一个该Pod实例（端口冲突），扩展性差，仅适合单节点场景。
• 手动iptables转发：在节点上手动添加iptables规则，将公网IP的30000端口转发到Service的ClusterIP：

  iptables -t nat -A PREROUTING -d <节点公网IP> -p tcp --dport 30000 -j DNAT --to-destination <Service ClusterIP>:80
  

  注意：该规则会随节点重启丢失，需手动持久化（如写入/etc/rc.local）。

四、Ingress能否解决此问题 #

Ingress本身无法直接解决，因为Ingress依赖Ingress Controller（如nginx-ingress），而Controller本身仍需通过NodePort/HostPort暴露到公网。使用Ingress的优势是可统一管理多服务路由，但比直接用NodePort多了一层组件，不属于“简易”方案，适合多服务暴露场景。

快速排查步骤 #

1. 登录节点执行netstat -tulpn | grep 30000，确认端口是否绑定0.0.0.0（所有IP），若仅绑定私网IP则调整kube-proxy配置。
2. 检查节点防火墙：执行firewall-cmd --list-ports（firewalld）或iptables -L INPUT -n | grep 30000，确保30000/tcp已放行。
3. 查看kube-proxy配置：在kube-system命名空间下查看kube-proxy的ConfigMap，若存在nodePortAddresses字段，确保包含公网IP段；无此字段则默认绑定所有IP。
4. 验证公网连通性：本地执行telnet <节点公网IP> 30000或nc -zv <节点公网IP> 30000，确认链路是否通畅。

内容的提问来源于stack exchange，提问作者Adil Abdul Rahman