Kubernetes中VoLTE IMS迁移的跨端口服务亲和性问题咨询

• 按照3GPP规范要求，UE（移动终端）的IMS注册流程有明确的端口访问规则：首个REGISTER请求需发送至P-CSCF的非安全端口5060，后续REGISTER请求必须发送到首个REGISTER响应返回的P-CSCF实例对应的安全端口，属于典型的多端口服务跨端口会话亲和性需求场景。

原生Kubernetes能力的现存局限 #

• IPTables kube-proxy模式：官方已明确该模式无法支持带会话亲和性的多端口服务，会话亲和性的校验维度为SEP（service endpoint，即端口级）而非服务级，无法满足同客户端跨端口访问同一后端实例的要求。
• IPVS全局sh调度模式：切换为IPVS模式后，若全局配置sh（source hashing，源地址哈希）调度器，虽然可以实现服务维度的跨端口会话亲和性，但会强制所有工作节点统一使用sh调度策略，直接破坏全集群流量负载均衡效果，尤其会干扰IMS内部节点间链路（P-CSCF到I-CSCF、I-CSCF到S-CSCF等）的正常流量分发。
• IPVS全局RR调度模式：rr（round-robin，轮询）是适配内部链路负载均衡需求的最优默认调度策略，但根据IPVS官方文档说明，RR模式无法保障单个客户端访问同一服务时的跨端口会话亲和性，无法满足UE到P-CSCF的链路要求。

核心目标：实现UE到P-CSCF的访问链路采用sh调度保证跨端口会话亲和，其余集群内部服务链路采用RR调度保证负载均衡效果，原生kube-proxy的全局统一调度逻辑无法直接支持该差异化配置需求。

• 方案1：使用单服务粒度的IPVS调度策略配置
  1.20及以上版本的Kubernetes已支持通过Service注解为单个服务指定独立的IPVS调度器，无需全局统一配置。操作方式为：将kube-proxy全局IPVS调度器配置为默认的rr，给P-CSCF对应的Service添加注解service.kubernetes.io/ipvs-scheduler: sh，即可实现P-CSCF服务单独使用源地址哈希调度、其余服务默认走轮询调度的效果，完全匹配需求。部署前需验证当前集群版本对该注解的支持情况，部分定制化Kubernetes发行版可能需要提前开启对应特性开关。
• 方案2：入口流量与集群内流量转发链路完全隔离
  针对UE到P-CSCF的北向访问流量，在集群外部或入口层部署独立的四层转发节点（可采用LVS、DPDK四层转发、硬件负载均衡设备），该层转发单独配置sh调度策略，保证同源IP跨端口访问落到同一个P-CSCF实例；集群内部服务间的东西向访问仍然走kube-proxy配置的RR模式IPVS转发，两层转发链路完全独立，调度策略互不干扰。该方案兼容性最强，不受Kubernetes版本限制，也不需要修改集群原生组件配置。
• 方案3：通过eBPF或自定义规则实现特定服务的调度策略覆盖
  在节点侧部署轻量eBPF程序或自定义IPVS规则，识别目的IP为P-CSCF服务ClusterIP/ExternalIP的流量，单独执行源地址哈希的跨端口亲和调度，其余服务的流量仍然走kube-proxy生成的默认RR调度规则。该方案不需要调整kube-proxy全局配置，也不需要额外引入独立的负载均衡设备，适合对集群侵入性要求低的场景。

内容的提问来源于stack exchange，提问作者rizwan alam