如何让Kubernetes集群的MetalLB外部IP在公司局域网内全网访问？

1. 验证MetalLB IP池配置合法性 #

• 确认MetalLB配置的IP段是公司局域网内未被占用、不在DHCP分配范围的网段，若IP段和DHCP重叠会导致路由异常或IP冲突。
  • 查看MetalLB配置：kubectl get configmap -n metallb-system config -o yaml
  • 核对address-pools中的IP范围，和公司网络管理员确认该段是否可用于静态分配。

2. 检查节点网络转发与防火墙规则 #

• 确保K8s节点开启IP转发：
  • 验证状态：sysctl net.ipv4.ip_forward，返回值应为1；若不是，执行sysctl -w net.ipv4.ip_forward=1，并写入/etc/sysctl.conf持久化。
• 节点防火墙需放行相关流量：
  • 允许LB IP的入站请求：iptables -A INPUT -d <LB_IP> -j ACCEPT
  • 允许局域网设备到LB IP的转发：iptables -A FORWARD -s <公司局域网段> -d <LB_IP> -j ACCEPT
  • 若用firewalld：firewall-cmd --add-rich-rule='rule family="ipv4" source address="<公司局域网段>" destination address="<LB_IP>" accept' --permanent，再执行firewall-cmd --reload

3. 确认Ingress与Service的关联正确性 #

• 检查Ingress的spec.rules.host是否和其他设备/etc/hosts中配置的域名完全一致：
  • 查看Ingress详情：kubectl get ingress -o yaml
  • 比如/etc/hosts配置的是myapp.company.com <LB_IP>，Ingress的rules.host必须对应为myapp.company.com。
• 验证Service与Pod的关联：kubectl describe service <你的Service名称>，确认Endpoints字段显示正常的Pod IP，且对应Pod处于Running状态。

4. 局域网设备的连通性测试 #

• 先在其他设备上ping LB IP：
  • 若ping不通：检查K8s节点的网卡是否在公司局域网的广播域内，是否存在VLAN隔离，联系网络管理员确认节点与其他设备的路由可达性。
  • 若ping通但访问失败：用curl -v http://<LB_IP>或curl -v http://<配置的域名>查看具体错误，排查是否是Ingress路径匹配错误、Pod端口映射异常。

5. 检查MetalLB的ARP/NDP通告（Layer2模式） #

• 若MetalLB采用Layer2模式，需确认节点网卡允许ARP通告：
  • 查看Speaker组件日志：kubectl logs -n metallb-system -l app=metallb,component=speaker，排查是否有ARP发送失败的报错。
  • 若网卡禁用ARP，执行开启命令：ip link set dev <节点网卡名称> arp on

内容的提问来源于stack exchange，提问作者ahmad naser