Kubernetes节点间UDP流量异常：跨节点请求源IP异常致响应失败

问题场景 #

我配置了一个3节点K8s集群（master、worker1、worker2），用于部署8副本的UDP应用。集群整体运行正常，但存在以下问题：

• 访问NodePort Service时，若请求被分配到非本地节点的Pod，请求虽能到达Pod，但源IP变为集群内部网段地址（如10.244.1.0），导致响应无法正常返回。
• 已通过为Service添加externalTrafficPolicy: Local和internalTrafficPolicy: Local临时解决，此时请求仅被分配到本地节点的Pod。

相关配置 #

Deployment配置 #

apiVersion: apps/v1
kind: Deployment
metadata:
  name: <name>
  labels:
    app: <app_name>
spec:
  replicas: 8
  selector:
    matchLabels:
      app: <app_name>
  template:
    metadata:
      labels:
        app: <app_name>
    spec:
      containers:
      - name: <name>
        image: <image>
        ports:
          - containerPort: 6000
            protocol: UDP

Service配置（初始版本） #

apiVersion: v1
kind: Service
metadata:
  name: <service_name>
  labels:
    app: <app_name>
spec:
  type: NodePort
  ports:
  - port: 6000
    protocol: UDP
    nodePort: 30080
  selector:
    app: <app_name>

问题根源分析 #

1. 默认流量转发的SNAT机制
   K8s Service默认的externalTrafficPolicy为Cluster，此时外部请求到达NodePort所在节点后，kube-proxy会将请求转发至集群内任意节点的目标Pod。为了保证响应能原路返回至转发节点，kube-proxy会对请求执行SNAT（源地址转换）——将客户端的真实IP替换为转发节点的Pod网段IP（即你看到的10.244.1.0这类地址）。

2. UDP协议的无连接特性导致响应丢失
   UDP是无连接协议，Pod收到请求后，会直接以接收到的源IP（也就是SNAT后的集群内部网段IP）作为响应的目标地址。但该地址属于K8s集群内部私有网段，客户端不在这个网段范围内，响应数据包无法正常路由回客户端，最终导致响应丢失。

3. Local策略的修复原理
   当将externalTrafficPolicy和internalTrafficPolicy设置为Local时，kube-proxy只会将请求转发至本地节点上的Pod，不会执行SNAT转换，客户端的真实IP会被完整保留到Pod中。Pod返回响应时，直接以客户端真实IP为目标地址，数据包能正常路由回客户端，因此问题得到解决。

内容的提问来源于stack exchange，提问作者Luke