本地部署Kubernetes集群无可用IP池时的入口方案咨询

你提到的两个方案核心差异对比 #

• 方案1：业务服务直接通过NodePort暴露，外部负载均衡器做统一入口
  优势是链路最短、配置量最小，没有额外组件维护成本，如果你真的永远只暴露这一个服务，是最省事的选择。
  缺陷也很明显：首先NodePort默认只能用30000-32767端口段，没法直接对外提供80/443这类标准端口服务，要么靠外部LB做端口转发，要么改K8s集群参数放开端口限制，后者有和节点本地服务端口冲突的风险；其次只要后续新增一个对外服务，你就得去外部LB上重新加后端节点列表、配端口映射，配置和K8s内部的服务生命周期完全割裂，后续迁移、排障都很麻烦；另外所有要对外的服务都得开NodePort，集群网络暴露面更大。
• 方案2：Ingress Controller以NodePort方式运行，外部LB只对Ingress对应的NodePort做负载，后端服务全用ClusterIP类型
  优势是外部LB只需要做一次配置，固定指向所有节点上的Ingress NodePort（可以手动把Ingress的Service NodePort固定为30080、30443这类好记的端口，对应HTTP、HTTPS流量），后续不管加多少个域名、多少个对外服务，路由规则、HTTPS证书卸载、路径分流、流量切分这类能力全可以在K8s集群内部通过Ingress资源配置，完全不需要动外部LB的设置；后端服务不需要暴露NodePort，集群网络暴露面更小，安全规则更好收敛。
  唯一的额外成本是多维护一个Ingress Controller组件，多一层转发的性能损耗极低，常规Nginx Ingress单实例扛每秒几万级请求没有压力，绝大多数场景下完全感知不到。

更适配本地场景的轻量优化方案 #

你提到没有可分配的IP池给MetalLB，其实MetalLB的二层（ARP/NDP）模式根本不需要你预留整段IP地址池，只要从你虚拟机所在的二层局域网里，找1个没被占用的空闲IP就够用。
举个实际配置例子：如果你的K8s节点虚拟机IP是192.168.3.10、192.168.3.11，同网段网关是192.168.3.1，你只要挑一个同网段没被其他设备占用的IP比如192.168.3.20，加到MetalLB的二层地址池里就行。MetalLB会自动选举一个节点来响应这个IP的ARP请求，你把Ingress Controller的Service改成LoadBalancer类型，MetalLB就会自动把这个空闲IP分配给Ingress Service，你连外部负载均衡器都不需要，直接把DNS A记录指向这个IP就行，Ingress可以直接监听80/443标准端口，连NodePort的端口限制都没有。
这个方案几乎没有额外成本，只要你的虚拟机网络是二层桥接模式（本地VMware、KVM、Proxmox默认的虚拟机网络基本都满足这个要求），不需要路由器支持BGP协议，是本地自建K8s最常用的入口部署方式。

选型决策参考 #

• 如果你完全确定后续不会新增任何对外暴露的服务，也不需要用80/443标准端口、不需要HTTPS、不需要域名路由能力，直接选方案1，怎么简单怎么来。
• 只要你有以下任意一个需求，哪怕现在只暴露1个服务，也优先选Ingress方案：
  • 后续可能新增对外暴露的服务
  • 需要对外提供80/443标准端口访问，不想URL里带端口号
  • 需要配置HTTPS证书、多域名转发、路径路由
  • 不想每次调整服务都登录外部负载均衡器改配置
• 如果你的虚拟机网络满足二层可达要求，优先选「MetalLB二层模式 + LoadBalancer类型的Ingress Controller」方案，连外部LB都可以省掉，后续扩展最方便，维护成本最低。

内容的提问来源于stack exchange，提问作者Abhinand