Kubernetes云Worker节点NodePort服务IPv4无法访问问题求助

Hey there, let's figure out why those two cloud Worker nodes are giving you trouble with IPv4 access to NodePort services, while your bare-metal nodes work perfectly fine. Even though kube-proxy is listening on :::30005 (the IPv6 wildcard port) across all nodes, there are a few key things to break down here.

• 云服务商网络限制：多数云服务商的默认安全组/防火墙规则可能会阻断NodePort端口（比如30005）的IPv4入站流量，但放开了IPv6规则。而你的裸金属节点由自己完全管控，防火墙规则不存在这个限制。
• 内核级IPv4-IPv6绑定限制：如果云节点的net.ipv6.bindv6only参数被设置为1，那么:::30005这个监听地址只会处理IPv6流量——哪怕它看起来是通配符地址，此时内核会禁用IPv4流量映射到IPv6绑定端口的功能。
• IPv4路由或地址配置异常：云节点可能存在无效的IPv4路由表，导致NodePort流量无法转发到后端Pod；或者节点没有正确分配/可访问的IPv4地址（比如无公网IPv4、VPC路由配置错误）。

1. 检查并调整云安全组/防火墙规则 #

• 登录云服务商控制台，找到绑定这两个云Worker节点的安全组，确保入方向规则允许IPv4的TCP/UDP流量访问30005端口（或者完整的NodePort范围：30000-32767）。来源可设置为0.0.0.0/0（如果需要更严格的安全管控，也可指定可信网段）。
• 验证节点内部防火墙（如iptables或firewalld）是否阻断了该端口的IPv4流量：

  # 用iptables检查端口规则
  iptables -L -n | grep 30005
  # 如果使用firewalld
  firewall-cmd --list-ports | grep 30005
  

• 如果没有允许规则，添加对应的规则。比如用iptables：

  iptables -A INPUT -p tcp --dport 30005 -j ACCEPT
  

2. 修复内核的IPv6绑定设置 #

• 检查云节点上net.ipv6.bindv6only的当前值：

  sysctl net.ipv6.bindv6only
  

• 如果输出为net.ipv6.bindv6only = 1，这就是问题所在。先临时调整：

  sysctl -w net.ipv6.bindv6only=0
  

• 为了让修改永久生效，编辑/etc/sysctl.conf或/etc/sysctl.d/99-sysctl.conf，添加或修改以下内容：

  net.ipv6.bindv6only = 0
  

• 重新加载sysctl配置：

  sysctl -p
  

• 重启kube-proxy服务应用更改：

  systemctl restart kube-proxy
  

3. 验证云节点的IPv4网络配置 #

• 确认节点拥有有效且可访问的IPv4地址：

  ip addr show | grep inet
  

• 从集群外部测试ping云节点的IPv4地址，如果无法连通，联系云服务商检查节点的IPv4网络配置（比如公网IP分配、VPC路由是否正常）。
• 查看kube-proxy日志，排查是否有IPv4相关的错误：

  journalctl -u kube-proxy -f
  

• 确保Kubernetes中节点的IPv4地址显示正确：

  kubectl get nodes -o wide
  

内容的提问来源于stack exchange，提问作者Bostjan