设置externalTrafficPolicy为Local后无法访问Kubernetes NodePort服务

首先，咱们先明确externalTrafficPolicy: Local的核心逻辑：这个配置会让NodePort服务只把外部流量转发到当前节点上运行的Pod，不会跨节点转发，以此保留客户端的源IP。但如果你访问的节点上没有该服务的Pod，流量就会直接被丢弃——这是你遇到问题的最常见原因。结合你的Kubernetes v1.15.3环境和iptables模式的kube-proxy，咱们一步步排查解决：

一、先确认Pod分布与访问节点的匹配性 #

这是最容易忽略的点，先做这一步：

• 执行命令查看Pod所在节点：

  kubectl get pods -o wide
  

  记录下NODE列的节点名称，确认你的Pod运行在哪些节点上。
• 再查看所有节点的IP：

  kubectl get nodes -o wide
  

• 确保你访问的nodeip:nodeport中的nodeip是运行了该服务Pod的节点IP。如果访问的是没有Pod的节点，流量会直接被拒绝，自然无法访问服务。

二、检查服务配置是否正确 #

确认你的Service配置没有错误：

• 查看Service的完整yaml：

  kubectl get svc nodeport -o yaml
  

  重点检查：
  • spec.type是否为NodePort
  • spec.externalTrafficPolicy是否确实设置为Local
  • port和targetPort是否和Pod的端口匹配（你的echoserver用8080，这里配置的targetPort=8080是对的）

三、验证kube-proxy的iptables规则 #

因为你的kube-proxy是iptables模式，externalTrafficPolicy: Local会生成特定的iptables规则，需要确认规则是否正确生成：

• 登录到有Pod运行的节点，执行命令查找对应NodePort的规则：

  iptables-save | grep -i "<你的NodePort端口号>"
  

  正常情况下，你应该能看到规则将流量转发到本地Pod的IP，而不是跨节点的地址。
• 如果规则缺失或者不正确，重启kube-proxy让它重新生成规则：

  kubectl rollout restart daemonset kube-proxy -n kube-system
  

  等待1-2分钟后，再重新检查规则并测试访问。

四、minikube环境的特殊处理 #

你在minikube中也遇到同样问题，需要注意minikube的网络特性：

• 先确认Pod状态正常：

  kubectl get pods
  

  确保Pod处于Running状态。
• 获取minikube的节点IP：

  minikube ip
  

• 确认NodePort端口：

  kubectl get svc nodeport
  

  比如PORT(S)列显示80:30000/TCP，那么30000就是NodePort。
• 尝试用minikube service nodeport命令直接打开服务，这个命令会自动处理minikube的端口转发，看是否能正常访问。如果这个命令能访问，但直接用nodeip:nodeport不行，可能是minikube的网络端口映射没有生效，可以尝试重启minikube：minikube stop && minikube start。

额外注意事项 #

在Kubernetes v1.15.3这个版本中，externalTrafficPolicy: Local的iptables实现有个小细节：当Pod重启或者调度到其他节点时，kube-proxy可能需要几分钟时间更新规则，所以修改配置后不要立刻测试，稍等片刻再试。

另外，如果你希望所有节点都能通过NodePort访问服务，同时保留源IP，有两个方案：

• 增加Pod副本数，通过调度策略（比如NodeAffinity）让每个节点都运行至少一个该服务的Pod；
• 如果应用适合，改用DaemonSet部署，确保每个节点都有一个Pod实例。

内容的提问来源于stack exchange，提问作者Noone