如何让Kubernetes Pod仅对集群内服务请求忽略代理设置？

1. NO_PROXY 通配符直接生效 #

主流HTTP客户端（curl、Python requests、Go net/http等）都支持NO_PROXY使用通配符，你可以直接配置：

NO_PROXY=sub_pod-*,default.svc.cluster.local

测试时可在main_pod内临时验证：

export NO_PROXY=sub_pod-*
curl http://sub_pod-2:5000/health_check

注意：部分老旧客户端仅支持后缀通配（如*.cluster.local），但现代客户端都兼容前缀通配（sub_pod-*）。

2. 利用集群DNS后缀简化全局配置 #

既然短域名最终会解析为{service-name}.default.svc.cluster.local，你可以直接把集群内部域名后缀加入NO_PROXY，覆盖所有内部服务请求：

NO_PROXY=.default.svc.cluster.local,default.svc.cluster.local,sub_pod-*

如果所有内部服务都在default命名空间，还能进一步简化为：

NO_PROXY=.svc.cluster.local,svc.cluster.local,*.svc.cluster.local

这会匹配集群内所有命名空间的Service域名，无需逐个添加。

3. 集群层面自动绕过代理（无需修改Pod环境变量） #

Sidecar代理拦截 #

在main_pod中部署Envoy或Nginx作为sidecar容器，配置路由规则：将目标IP属于集群Service CIDR（可通过kubectl cluster-info dump | grep service-cluster-ip-range获取）的请求直接转发，不走外部代理。这种方式对应用完全透明，不需要开发者修改任何代码。

CNI插件出口策略 #

Cilium、Calico等CNI网络插件支持配置出口规则，将发往内部Service CIDR的流量直接路由，绕开代理。例如Cilium可通过ClusterwideNetworkPolicy设置拦截规则，自动识别内部流量并跳过代理节点。

4. 解决短域名的NO_PROXY匹配问题 #

使用短域名时部分客户端会将其视为顶级域名，导致NO_PROXY=cluster.local无法匹配，可通过两种方式修复：

• 在NO_PROXY中添加前缀匹配规则：NO_PROXY=.,sub_pod-*,cluster.local（开头的.用于匹配所有子域名，包括短域名场景）；
• 确认main_pod的/etc/resolv.conf包含Kubernetes默认搜索域（default.svc.cluster.local、svc.cluster.local等），确保短域名能正确解析为FQDN，让客户端识别其属于内部域名。

内容的提问来源于stack exchange，提问作者Saurav Pathak