Kubernetes NodePort服务跨节点访问无响应问题求助

看起来你的NodePort服务只能在Pod所在的worker4节点正常访问，其他节点无法连接或响应极慢，这大概率是kube-proxy没有在其他节点正确生成转发规则，或者节点间网络存在阻塞导致的。下面是具体的排查和解决步骤：

• 检查所有节点的kube-proxy运行状态
  kube-proxy负责在每个节点上维护Service的转发规则，如果它在master、worker1-3上未正常运行，就不会生成NodePort的转发配置。执行以下命令检查：

  kubectl get pods -n kube-system | grep kube-proxy
  

  确保所有节点的kube-proxy Pod都是Running状态，没有重启或崩溃。如果有异常Pod，查看日志定位问题：

  kubectl logs <kube-proxy-pod-name> -n kube-system
  

  比如日志里如果有连接API Server失败的信息，就需要排查API Server的可达性或者kube-proxy的权限配置。

• 验证kube-proxy的工作模式与转发规则
  Kubernetes的kube-proxy支持iptables和ipvs两种模式，不同模式的规则生成逻辑不同：

  1. 先确认当前模式：

     kubectl describe configmap kube-proxy -n kube-system | grep mode
     

  2. 如果是iptables模式，在无法访问的节点（比如master）上检查是否存在对应Service的转发规则：

     iptables-save | grep service-test
     

     你应该能看到把31000端口流量DNAT到目标Pod IP:7777的规则。如果规则缺失，重启kube-proxy让它重新同步规则：

     kubectl rollout restart daemonset kube-proxy -n kube-system
     

  3. 如果是IPVS模式，检查IPVS虚拟服务配置：

     ipvsadm -Ln | grep 31000
     

     确认存在指向目标Pod的后端条目，若缺失同样重启kube-proxy同步配置。

• 检查节点间网络连通性与防火墙配置
  跨节点访问NodePort需要节点之间能互通，且防火墙不能拦截相关流量：

  • 从无法访问的节点（比如master）ping Pod所在的worker4的Pod IP，确认Pod网络是通的；
  • 测试节点间的NodePort端口连通性：

    telnet worker4 31000
    # 或者用curl
    curl worker4:31000/test
    

  • 检查节点上的防火墙（比如firewalld或iptables）：
    确保放行NodePort端口范围（默认30000-32767，这里是31000），同时放行Kubernetes集群的Pod CIDR和Service CIDR段的流量。例如用firewalld放行：

    firewall-cmd --add-port=31000/tcp --permanent
    firewall-cmd --add-source=<你的Pod CIDR> --permanent
    firewall-cmd --reload
    

• 验证Service与Pod的标签匹配
  确认Service的selector: app: app和Pod的标签完全匹配，否则kube-proxy不会把流量转发到Pod。执行以下命令检查：

  # 查看Pod的标签
  kubectl describe pod <你的Pod名称> | grep Labels
  # 查看Service的Selector
  kubectl describe service service-test | grep Selector
  

  如果标签不匹配，修改Service的selector或者给Pod添加对应标签即可。

• 检查节点IP转发配置
  iptables模式下需要节点开启IP转发功能，执行以下命令确认：

  sysctl net.ipv4.ip_forward
  

  如果返回值是0，执行命令开启并持久化：

  sysctl -w net.ipv4.ip_forward=1
  echo "net.ipv4.ip_forward=1" >> /etc/sysctl.conf
  

按照以上步骤排查后，跨节点访问NodePort服务的问题应该就能解决了。

内容的提问来源于stack exchange，提问作者zzx