Kubernetes集群Pod访问外部API的源IP问题及验证方法

环境配置 #

• 采用GKE/EKS托管式Kubernetes集群
• 因业务需求，集群配置公网端点，API Server及节点均具备公网IP
• 部署了nginx ingress用于路由流量，暴露为LoadBalancer类型，对应公网Network Load Balancer（NLB），公网IP示例：35.200.24.99

核心疑问解答 #

1. Pod调用外部API时，外部API接收的源IP是NLB的公网IP还是节点的公网IP？ #

默认情况下，Pod访问外部API的源IP是节点的公网IP。Ingress的NLB仅负责集群外部流量进入集群的路由转发，Pod主动发起的出站流量会通过节点的网络栈直接转发，不会经过Ingress的NLB。

2. 若源IP为NLB IP，能否修改为使用节点公网IP？ #

如上述，默认场景下就是使用节点公网IP。如果出现源IP为NLB的情况，通常是集群配置了SNAT规则将出站流量导向NLB，可通过以下方式调整：

• GKE环境：若为VPC-native集群，默认Pod出站流量直接使用节点IP；若启用了Cloud NAT，可调整NAT策略，或针对特定Pod/Service配置绕过NAT的规则。
• EKS环境：检查是否配置了AWS NAT Gateway并将出站流量导向它，若要改用节点公网IP，可修改路由表让Pod出站流量直接通过节点弹性公网IP（EIP）转发，同时确保节点安全组允许出站流量。

3. 有没有工具或方法可以验证Pod访问外部API时的源IP？ #

有几种简单有效的验证方式：

• 在Pod内执行命令访问能返回源IP的公开服务：

  curl ifconfig.me
  # 或
  curl ipinfo.io/ip
  

• 临时部署测试Pod执行验证：

  kubectl run busybox-test --image=busybox --restart=Never --rm -it -- sh
  # 进入Pod后执行
  wget -qO- ifconfig.me
  

• 自行搭建公网HTTP服务（比如用Python Flask），在服务端日志中记录请求源IP，再让Pod访问该服务查看日志即可。

内容的提问来源于stack exchange，提问作者Nagesh Jayaram