通过MetalLB暴露外部IP后，集群外无法访问K8s Pod问题排查求助

可能原因及对应排查步骤 #

1. MetalLB工作模式校验 #

MetalLB支持Layer2和BGP两种模式，先聚焦最常用的Layer2模式排查：

• 检查MetalLB组件运行状态：

  kubectl get pods -n metallb-system
  

  确保所有控制器、speaker pod都处于Running状态，无重启、CrashLoopBackOff等异常。
• 验证节点ARP配置：Layer2模式依赖ARP广播实现IP绑定，检查系统ARP参数：

  sysctl net.ipv4.conf.all.arp_ignore
  sysctl net.ipv4.conf.all.arp_announce
  

  Layer2模式下建议保持默认值arp_ignore=0、arp_announce=0，若有修改需调回。

2. NodePort端口外部可达性测试 #

你的LoadBalancer服务将80端口映射到NodePort 31463，先绕过MetalLB直接验证基础转发：

# 集群外执行
curl http://145.181.xx.xx:31463

如果此请求也失败，说明问题出在NodePort层：

• 检查kube-proxy规则：K8s 1.24默认用iptables模式，验证端口转发规则是否存在：

  iptables-save | grep 31463
  

  需能看到指向Nginx Pod的DNAT规则。
• 确认云服务商防火墙（若为云VPS）是否开放31463端口，部分云厂商默认仅开放常用端口，NodePort需手动放行。

3. MetalLB IP分配配置检查 #

确认IPAddressPool与L2Advertisement的关联有效性：

kubectl get ipaddresspools.metallb.io
kubectl get l2advertisements.metallb.io -n metallb-system

检查IPAddressPool的spec.addresses是否包含145.181.xx.xx，且L2Advertisement已正确选择该IP池（Layer2模式下必须配置L2Advertisement）。

4. 流量路径抓包分析 #

在VPS节点上抓包，确认集群外请求是否到达及处理情况：

# 监听80端口流量
tcpdump -i any port 80 -nn

• 若看不到集群外的SYN包：排除系统防火墙后，需确认VPS公网IP是否正确绑定（部分云VPS需手动将弹性IP绑定到节点网卡）。
• 若能看到SYN包但无SYN-ACK回应：说明MetalLB未正确响应ARP请求，或者kube-proxy未将流量转发到后端Pod。

5. CNI网络连通性验证 #

确认容器网络与节点的连通性：

kubectl exec -it <nginx-pod-name> -- ping <vps-node-ip>

若Ping不通，说明CNI插件（如Calico/Flannel）存在异常，需检查CNI组件运行状态及节点网络配置。

调试优先级 #

1. 先验证NodePort外部可达性，排除基础转发问题
2. 检查MetalLB组件状态与配置正确性
3. 通过抓包定位流量断点
4. 确认CNI网络的Pod-节点连通性

内容的提问来源于stack exchange，提问作者corey