寻求TCP流量监听用静态IP方案：适配遗留应用手动白名单需求

1. 固定入口IP+端口（最省心的方案） #

• 将数据消费应用通过NodePort或LoadBalancer暴露到集群外：
  • NodePort模式：在Service配置中指定固定的nodePort值（如30000），确保集群节点的IP为静态不变地址，直接将「节点IP:固定NodePort」加入遗留应用白名单。
  • LoadBalancer模式：若集群有外部负载均衡器，利用其分配固定的内网/公网IP，将「负载均衡IP:服务端口」加入白名单。
• 优势：一次配置终身受用，后续Pod重启、扩容均无需修改白名单。
• 注意事项：NodePort需避开节点上已占用的端口；节点IP或负载均衡IP必须静态，不能动态变化。

2. 本地端口转发适配（适合节点IP不固定场景） #

在遗留应用所在的机器上，用端口转发工具将固定的本地IP:端口映射到K8s Service的稳定IP:端口：

• 用iptables配置持久化转发规则：

  # 将本地8080端口的请求转发到K8s Service
  iptables -t nat -A PREROUTING -p tcp --dport 8080 -j DNAT --to-destination <K8S_SERVICE_IP>:<SERVICE_PORT>
  # 配置反向路由确保返回包能正确回到遗留应用
  iptables -t nat -A POSTROUTING -p tcp --dport <SERVICE_PORT> -d <K8S_SERVICE_IP> -j SNAT --to-source <LEGACY_MACHINE_IP>
  

  完成后将「127.0.0.1:8080」或遗留机器自身IP:8080加入白名单。
• 或用socat做轻量临时转发：

  socat TCP-LISTEN:8080,fork,reuseaddr TCP:<K8S_SERVICE_IP>:<SERVICE_PORT> &
  

• 优势：无需修改K8s应用部署方式，依赖工具简单易操作。
• 注意事项：K8s Service的IP默认是稳定的（除非删除重建），需确保转发进程后台持续运行。

3. 自动化白名单更新脚本（迫不得已时的备选） #

如果必须使用Pod IP，写个脚本自动同步Pod IP到遗留应用的白名单：

• 用kubectl定时查询数据消费应用的Pod IP：

  kubectl get pods -l app=data-consumer -o jsonpath='{.items[0].status.podIP}'
  

• 对比遗留应用白名单中的IP，若有变化则自动更新：
  • 若白名单存储在配置文件中，直接修改文件后重启遗留应用（需确认遗留应用是否支持热重载，否则必须重启）。
  • 若需通过控制台手动操作，用expect脚本模拟交互完成IP的添加/替换。
• 优势：适配必须使用Pod IP的特殊场景。
• 注意事项：需拥有遗留应用的操作权限；若为多Pod部署，需固定其中一个Pod（如用StatefulSet的第一个实例），避免白名单出现多个IP。

4. HostNetwork模式部署Pod（适合小型集群） #

将数据消费应用的Pod部署为hostNetwork: true模式，让Pod直接使用节点的IP和端口：

• 在Deployment的Pod模板中添加配置：

  spec:
    hostNetwork: true
    containers:
    - name: data-consumer
      ports:
      - containerPort: 8080
        hostPort: 8080
  

• 将「节点IP:8080」加入遗留应用白名单。
• 优势：Pod重启后IP不变，无需额外配置。
• 注意事项：端口不能与节点上的其他服务冲突；每个节点只能部署一个该Pod，避免端口占用冲突。

内容的提问来源于stack exchange，提问作者Przemek Hendel