如何为特定Namespace限制NodePort范围或在Helm中自动递增NodePort？

一、调整Kubernetes集群NodePort全局范围 #

• 操作步骤：
  1. 找到kube-apiserver的静态Pod配置文件（通常路径为/etc/kubernetes/manifests/kube-apiserver.yaml）；
  2. 在spec.containers[0].command中添加或修改参数--service-node-port-range=32000-32200；
  3. 保存配置后，kubelet会自动重启kube-apiserver Pod，新配置生效。
• 注意事项：
  • 该设置为集群全局生效，所有新创建的Service都会从32000-32200范围内分配NodePort；
  • 已存在的、占用30000-32000端口的Service不受影响，仍可正常运行；
  • 需提前确认32000-32200范围内没有被现有服务占用，可通过命令kubectl get services --all-namespaces -o jsonpath='{.items[*].spec.ports[*].nodePort}' | tr ' ' '\n' | sort -n排查已占用端口。

二、Helm模板实现自动递增分配NodePort #

这种方式适合仅需为这批新Job分配指定端口范围的场景，无需修改集群全局配置，核心思路是通过ConfigMap记录已使用的最后一个端口，每次部署时自动计算下一组可用端口，并更新记录。

具体实现步骤 #

1. 创建端口跟踪ConfigMap
   先定义一个ConfigMap来存储已使用的最后一个端口值：

   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: nodeport-tracker
     namespace: {{ .Release.Namespace }}
   data:
     last-port: "32000"
   

2. 在Service模板中计算端口
   在Job对应的Service模板里，通过lookup函数读取ConfigMap的端口记录，计算出当前要使用的两个端口：

   {{- $tracker := lookup "v1" "ConfigMap" .Release.Namespace "nodeport-tracker" }}
   {{- if $tracker }}
     {{- $lastPort := $tracker.data.last-port | int }}
     {{- $newPort1 := $lastPort }}
     {{- $newPort2 := $lastPort | add 1 }}
     {{- if gt $newPort2 32200 }}
       {{- fail "已超出32000-32200的端口范围，请手动调整ConfigMap中的last-port值" }}
     {{- end }}
   {{- else }}
     {{- fail "未找到端口跟踪ConfigMap，请先部署该ConfigMap" }}
   {{- end }}
   
   apiVersion: v1
   kind: Service
   metadata:
     name: {{ .Release.Name }}-job-svc
   spec:
     type: NodePort
     ports:
       - port: 80
         targetPort: 80
         nodePort: {{ $newPort1 }}
       - port: 81
         targetPort: 81
         nodePort: {{ $newPort2 }}
     selector:
       app: {{ .Release.Name }}-job
   

3. 添加钩子更新端口记录
   新增一个带Helm钩子的ConfigMap，在部署完成后更新已使用的最后一个端口：

   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: nodeport-tracker
     namespace: {{ .Release.Namespace }}
     annotations:
       "helm.sh/hook": post-install,post-upgrade
       "helm.sh/hook-weight": "1"
       "helm.sh/hook-delete-policy": before-hook-creation
   data:
     last-port: {{ $newPort2 | quote }}
   

注意事项 #

• 若存在并发部署Job的场景，可能会出现端口冲突，建议通过Helm的--atomic参数保证部署原子性；
• 删除Job时，端口不会自动释放，若需要复用端口，需手动修改ConfigMap中的last-port值；
• 模板中加入了端口范围校验，超出32200时会直接报错，避免无效部署。

内容的提问来源于stack exchange，提问作者ess3nt1al