如何将NAT后的本地HTTP服务接入Kubernetes供Pod访问

下面是几个轻量级、从本地侧发起连接的方案，无需在集群内配置SSH组件，且能降低连接中断概率：

方案1：利用kubectl反向端口转发（最简方案） #

这个方案无需在集群内部署额外组件，仅依赖本地的kubectl工具，适合快速测试或小规模场景。

步骤： #

1. 在集群中创建一个空的"占位"Pod（用pause镜像，资源占用极低）：

apiVersion: v1
kind: Pod
metadata:
  name: local-service-proxy
  labels:
    app: local-proxy
spec:
  containers:
  - name: pause
    image: k8s.gcr.io/pause:3.9

执行创建命令：kubectl apply -f pause-pod.yaml

2. 在本地启动反向端口转发，将集群内Pod的端口映射到本地HTTP服务端口：

# 格式：kubectl port-forward <占位Pod名> <集群内监听端口>:<本地服务端口> --keepalive=30s
kubectl port-forward local-service-proxy 8080:80 --keepalive=30s

• 8080：集群内Pod对外暴露的端口，集群内Pod将通过这个端口访问本地服务
• 80：本地HTTP服务的端口
• --keepalive=30s：开启心跳检测，避免长时间无流量导致连接中断

3. 集群内Pod访问本地服务：
   集群内的Pod可以直接通过local-service-proxy:8080访问你的本地HTTP服务。如果需要更通用的访问地址，可以给这个Pod创建一个ClusterIP Service：

apiVersion: v1
kind: Service
metadata:
  name: local-service-svc
spec:
  selector:
    app: local-proxy
  ports:
  - port: 80
    targetPort: 8080

之后集群内Pod就可以通过local-service-svc:80访问本地服务。

注意事项： #

• 本地kubectl进程需保持运行，可通过nohup kubectl ... &或systemd配置为后台服务，断开后自动重启
• 确保本地kubectl有足够权限操作集群内的Pod和Service

方案2：用socat建立反向隧道（更稳定） #

socat是轻量级的网络工具，镜像体积极小（约5MB），适合生产环境使用，连接稳定性优于kubectl port-forward。

步骤： #

1. 在集群中部署socat Pod和NodePort Service，用于接收本地发起的反向连接：

apiVersion: v1
kind: Pod
metadata:
  name: socat-tunnel
  labels:
    app: socat-tunnel
spec:
  containers:
  - name: socat
    image: alpine/socat
    # 监听集群内80端口，将流量转发到本地发起连接后绑定的9000端口
    command: ["socat", "TCP-LISTEN:80,fork,reuseaddr", "TCP:localhost:9000"]
---
apiVersion: v1
kind: Service
metadata:
  name: socat-tunnel-svc
spec:
  type: NodePort
  selector:
    app: socat-tunnel
  ports:
  - port: 80
    targetPort: 80
    # 可选：指定NodePort端口，否则集群自动分配
    nodePort: 30080

执行创建命令：kubectl apply -f socat-tunnel.yaml

2. 在本地启动socat，建立反向连接，将本地服务端口转发到集群的NodePort：

# 格式：socat TCP:<集群NodeIP>:<NodePort> TCP:localhost:<本地服务端口>,retry=10,interval=2
socat TCP:192.168.1.100:30080 TCP:localhost:80,retry=10,interval=2

• 192.168.1.100：集群中任意Node的IP地址
• 30080：上面配置的NodePort端口
• retry=10,interval=2：连接中断后自动重试，每2秒尝试一次，最多重试10次（可根据需求调整）

3. 集群内Pod访问本地服务：
   直接通过socat-tunnel-svc:80访问你的本地HTTP服务。

注意事项： #

• 本地socat进程可通过systemd或supervisor管理，确保断开后自动重启
• 如果集群使用防火墙，需开放NodePort端口的入站权限给本地IP

方案3：利用kubectl port-forward到Service（简化版） #

如果不需要单独的占位Pod，也可以直接将本地服务转发到集群的一个无Selector Service：

1. 创建一个无Selector的ClusterIP Service：

apiVersion: v1
kind: Service
metadata:
  name: local-service-svc
spec:
  ports:
  - port: 80
    targetPort: 8080

2. 本地启动端口转发，将Service的targetPort映射到本地服务：

kubectl port-forward svc/local-service-svc 8080:80 --keepalive=30s

集群内Pod同样可以通过local-service-svc:80访问本地服务。

• 无论使用哪种方案，都建议将本地的转发进程配置为系统服务（如systemd），进程意外退出时自动重启
• 对于kubectl port-forward，务必添加--keepalive参数，启用TCP心跳维持连接
• 对于socat，通过retry和interval参数配置自动重试，提升连接可靠性

内容的提问来源于stack exchange，提问作者ZisIsNotZis