K8s集群NodePort服务跨Dev/QA节点异常可访问问题咨询

该现象并非调度或namespace配置错误，本质是对Kubernetes NodePort类型Service的默认工作机制存在认知偏差：

• 默认规则下，集群内所有节点的kube-proxy都会为每个NodePort Service监听分配的指定NodePort，和对应服务的后端Pod是否调度到当前节点没有关系
• 当请求发送到任意节点的对应NodePort时，该节点的kube-proxy会自动按照Service的负载均衡规则，将流量转发到后端存活的Pod实例，哪怕Pod实际运行在其他节点上
  你当前配置的节点选择器调度隔离、独立namespace隔离，都不会改变NodePort全局监听、全局转发的默认行为，因此会出现跨节点访问连通的不符合预期的现象。

你可以根据自身集群版本和运维习惯，选择以下任意一种方案实现访问隔离：

• 方案1：配置Service本地流量策略
  为Dev、QA环境的所有NodePort Service添加如下配置项：

  spec:
    externalTrafficPolicy: Local
    internalTrafficPolicy: Local
  

  配置生效后，只有实际运行了对应Service后端Pod的节点，才会监听对应的NodePort并处理流量；请求发送到没有对应后端Pod的节点时，该节点的对应NodePort不会执行跨节点转发，请求会直接失败，完全匹配你预期的节点绑定访问效果。
  注意该方案要求集群版本≥1.22，低版本集群仅配置externalTrafficPolicy: Local只能实现外部入站流量的节点隔离，集群内部跨节点访问NodePort仍会被转发。
• 方案2：按环境部署独立入口层
  为Dev、QA节点组分别部署独立的入口控制器（如Nginx Ingress），通过节点选择器将Dev环境的Ingress实例只调度到Dev节点，绑定dev.com域名和Dev节点的IP，仅对接Dev namespace下的后端服务；QA环境同理部署独立的、仅运行在QA节点的Ingress实例，从流量入口层实现物理隔离，不会出现跨节点转发的问题，适合长期稳定运行的环境使用。
• 方案3：节点网络层规则兜底
  如果不方便调整Service配置，可以直接在节点操作系统层面配置iptables规则，或在云平台安全组层面配置拦截规则：Dev节点的NodePort端口段（默认30000-32767）仅放通Dev环境的信任来源，QA节点同理做对应访问限制，从网络层直接拦截跨环境的访问请求。

内容的提问来源于stack exchange，提问作者Dharmendra jha