在Kubernetes Deployment中能否将多个端口映射至同一容器端口？

首先明确：Kubernetes无法像Docker那样直接在容器层面通过-p参数绑定多个主机端口到同一个容器端口，但可以通过以下两种方案实现类似效果，满足你不修改容器、绕开存活探针mTLS的需求：

方案一：给容器定义多命名端口，区分服务与健康检查流量 #

在Deployment的容器配置中，为同一个容器端口（3000）定义多个不同名称的端口条目，随后分别为服务流量和健康检查流量配置不同的访问规则：

Deployment配置示例 #

apiVersion: apps/v1
kind: Deployment
metadata:
  name: my-web-app
spec:
  replicas: 1
  selector:
    matchLabels:
      app: web-app
  template:
    metadata:
      labels:
        app: web-app
    spec:
      containers:
      - name: web-container
        image: your-app-image:latest
        ports:
        # 用于服务流量的命名端口，对应容器3000端口
        - name: service-port
          containerPort: 3000
          protocol: TCP
        # 用于健康检查的命名端口，同样指向容器3000端口
        - name: healthcheck-port
          containerPort: 3000
          protocol: TCP
        livenessProbe:
          httpGet:
            port: healthcheck-port
            path: /healthz
            scheme: HTTP  # 针对健康检查端点禁用HTTPS，绕开mTLS
          initialDelaySeconds: 5
          periodSeconds: 10

配套Service配置 #

如果需要对外暴露两个端口（比如3000用于服务，3001用于健康检查），可以创建Service绑定不同的targetPort：

apiVersion: v1
kind: Service
metadata:
  name: web-service
spec:
  selector:
    app: web-app
  ports:
  - name: service
    port: 3000
    targetPort: service-port
  - name: healthcheck
    port: 3001
    targetPort: healthcheck-port

这个方案的核心前提是：你的应用容器的3000端口同时支持带mTLS的服务请求和不带mTLS的健康检查请求。

方案二：使用Sidecar容器做端口转发（适配强制mTLS的场景） #

如果你的应用容器的3000端口强制要求mTLS，无法直接通过HTTP访问健康检查端点，可以添加一个Sidecar容器（比如Nginx、Envoy），由Sidecar监听额外端口（如3001），转发请求到主容器的3000端口并跳过mTLS验证，存活探针直接指向Sidecar的端口。

Deployment配置示例 #

apiVersion: apps/v1
kind: Deployment
metadata:
  name: my-web-app
spec:
  replicas: 1
  selector:
    matchLabels:
      app: web-app
  template:
    metadata:
      labels:
        app: web-app
    spec:
      containers:
      - name: web-container
        image: your-app-image:latest
        ports:
        - name: service-port
          containerPort: 3000
          protocol: TCP
      # 用于转发健康检查请求的Sidecar容器
      - name: health-proxy
        image: nginx:alpine
        ports:
        - name: health-proxy-port
          containerPort: 3001
          protocol: TCP
        volumeMounts:
        - name: nginx-config
          mountPath: /etc/nginx/conf.d/
        livenessProbe:
          httpGet:
            port: health-proxy-port
            path: /healthz
            scheme: HTTP
          initialDelaySeconds: 5
          periodSeconds: 10
      volumes:
      - name: nginx-config
        configMap:
          name: health-proxy-config

配套ConfigMap（Nginx配置） #

apiVersion: v1
kind: ConfigMap
metadata:
  name: health-proxy-config
data:
  default.conf: |
    server {
      listen 3001;
      location /healthz {
        proxy_pass https://localhost:3000/healthz;
        proxy_ssl_verify off;  # 跳过SSL证书验证，绕开mTLS
      }
    }

这样，服务流量直接访问主容器的3000端口（带mTLS），存活探针通过Sidecar的3001端口转发请求，无需修改原应用容器即可绕开mTLS限制。

内容的提问来源于stack exchange，提问作者Emma Kelly