Kubelet manifest未定义9990端口却暴露可外部访问问题咨询

针对你遇到的两个问题，分别说明根因： #

1. 容器9990端口自动暴露的原因 #

你在docker inspect结果中看到的9990/tcp暴露记录，是镜像自带的元数据，和你在kubelet manifest中配置的ports规则没有关系。
Docker镜像在构建时，可以通过Dockerfile中的EXPOSE指令预先声明容器内会监听的端口，这个信息会被打包进镜像元数据，容器启动时会默认继承这个配置。WildFly的官方基础镜像默认就会声明9990端口——这是WildFly管理控制台的默认监听端口，如果你构建自定义镜像registry/server:develop-latest时没有显式覆盖这个配置，启动容器后自然会在ExposedPorts中看到这条记录。

注意：ExposedPorts只是一个标记性的元数据，仅代表容器内可能会使用这个端口，本身不代表端口已经映射到主机、也不代表端口可以被外部访问。

2. 未配置的9990端口可被外部直接访问的原因 #

按出现概率从高到低，常见原因有三类：

• 最核心的常见原因：Pod开启了主机网络模式
  如果你在Pod配置中设置了hostNetwork: true，容器会直接共享宿主机的网络命名空间，完全不需要配置任何hostPort映射规则：只要容器内的WildFly进程在0.0.0.0地址上监听9990端口，这个端口就会直接绑定在宿主机的网卡上，和直接在宿主机上启动WildFly进程的效果完全一致。此时只要宿主机的防火墙、外层安全组放通了9990端口，外部就可以直接通过宿主机IP:9990访问管理控制台，和你有没有在manifest的ports字段中声明9990没有任何关系。
• 容器运行时自动添加了端口映射
  如果你使用Docker作为容器运行时，当启动容器时携带-P（--publish-all）参数，Docker会自动把镜像中所有通过EXPOSE声明的端口映射到宿主机的端口上。默认情况下这个映射会使用30000以上的随机高端口，但如果你的集群使用了自定义CNI插件、节点上有自定义端口管理脚本，也可能直接将9990端口映射到宿主机同名端口。
• 认知误区：Pod的ports字段不是访问控制规则
  很多人会误以为Kubernetes的ports字段和docker run -p的作用一致，只有写在里面的端口才能被访问，实际上这个字段只是纯声明性的：它的作用是给Service、监控组件等集群其他组件提供端口参考信息，本身不会做任何端口隔离或者访问限制。哪怕你完全不配置ports字段，只要网络路由可达、没有网络策略/防火墙拦截，容器内监听的所有端口都可以被正常访问。

你可以通过两个命令快速定位根因：

1. 在节点上执行netstat -tulpn | grep 9990，查看9990端口的监听进程：如果是WildFly进程直接监听，就是开了hostNetwork；如果是docker-proxy监听，就是存在自动端口映射。
2. 执行iptables-save | grep 9990，查看是否有对应的DNAT转发规则，确认端口映射的来源。

内容的提问来源于stack exchange，提问作者m19v