如何实现Kubernetes无头服务的FQDN端口转发功能？

从你提供的无头服务配置来看，Endpoints已经正确关联到Pod的7443端口，说明服务选择器是正常的。端口映射未生效大概率是访问方式或配置细节的问题，以下是具体分析和最佳实现方案：

核心误区：Pod FQDN不支持Service端口映射 #

无头服务的Pod FQDN（例如sbijendra-sts-0.sbijendra-service.avictrl-aviproject-aviclusterinstaller-system.svc.cluster.local）是直接解析到Pod IP的，不会经过Service的端口转发规则。如果你直接访问Pod FQDN的443端口，自然会失败——因为Pod本身只监听7443。

对应解决方式 #

• 优先选择访问无头服务的FQDN:443，而非Pod的FQDN。服务的FQDN会返回所有Pod的IP，同时自动将443端口的请求转发到Pod的7443端口，完全符合你的需求。
• 如果业务必须直接用Pod FQDN访问，有两个可选方案：
  1. 修改Pod的容器配置，让应用直接监听443端口（注意：443是特权端口，容器需要添加NET_BIND_SERVICE能力才能绑定）。
  2. 在Pod内添加Sidecar代理（比如Nginx），监听443端口并转发到本地7443。

配置细节验证 #

虽然你的Service配置看起来没问题，但可以检查以下两点排除隐患：

• 确认Pod内的应用确实在监听7443端口：进入Pod执行netstat -tulpn | grep 7443或ss -tulpn | grep 7443验证。
• 建议用端口名称替代数值配置TargetPort，避免端口数值变更导致映射失效。比如Pod的容器端口定义名称：

  containers:
  - name: sbijendra
    ports:
    - containerPort: 7443
      name: internal-https
  

  对应的Service配置：

  ports:
  - name: https
    port: 443
    targetPort: internal-https
  

网络层面排查 #

如果以上都没问题，检查命名空间的NetworkPolicy是否拦截了443端口的入站流量，或者Pod所在节点的防火墙是否限制了端口访问。可以用其他Pod执行telnet sbijendra-service.avictrl-aviproject-aviclusterinstaller-system.svc.cluster.local 443测试连通性。

最佳实现方案总结 #

方案一：服务FQDN访问（推荐） #

直接使用无头服务的FQDN访问443端口，无需额外配置，完全利用Kubernetes Service的原生端口映射能力。这种方式既能通过服务FQDN获取所有Pod的IP，又能实现端口转换。

方案二：Sidecar代理（需直接访问Pod FQDN时） #

若必须直接访问Pod FQDN，添加Nginx Sidecar是可靠的方式。示例配置如下：

Pod模板片段

containers:
- name: sbijendra-app
  ports:
  - containerPort: 7443
    name: app-port
- name: nginx-proxy
  image: nginx:alpine
  ports:
  - containerPort: 443
    name: proxy-port
  volumeMounts:
  - name: nginx-config
    mountPath: /etc/nginx/conf.d/
volumes:
- name: nginx-config
  configMap:
    name: sbijendra-nginx-proxy

对应的ConfigMap

apiVersion: v1
kind: ConfigMap
metadata:
  name: sbijendra-nginx-proxy
data:
  default.conf: |
    server {
      listen 443;
      server_name _;
      location / {
        proxy_pass http://localhost:7443;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
      }
    }

配置完成后，访问Pod FQDN的443端口，Nginx会自动转发到本地的7443端口。

内容的提问来源于stack exchange，提问作者Bijendra Singh