如何通过无选择器Service与手动Endpoint从microk8s Pod访问外部InfluxDB

1. 核心问题是回程路由缺失：

• 从集群节点直接访问无选择器Service时，请求的源IP是节点本身的10.1.2.50/51地址，和InfluxDB所在的10.1.2.220属于同一个二层网段，InfluxDB收到请求后可以直接将响应包回给节点，所以连通正常。
• 从Pod内部发起访问时，请求的源IP是K8s集群内部的Pod CIDR地址（比如你Grafana Pod的IP是10.1.237.120这类非10.1.2.x网段的地址），InfluxDB所在的虚拟机没有配置到K8s Pod CIDR的静态路由，不知道该把响应包发往哪个网关，导致响应包被丢弃，最终请求超时。

2. 你用metallb暴露Service的临时方案能生效，是因为metallb会对这类外部流量做源地址转换（SNAT），将请求的源IP替换为集群节点的IP，绕开了回程路由的问题。

你现有的无选择器Service、Endpoint、NetworkPolicy配置本身没有逻辑错误，不需要调整。

可根据你的操作权限选择对应方案：

方案1：配置静态路由（推荐，无额外性能损耗） #

第一步先获取K8s集群的Pod CIDR段，在集群master节点执行：

microk8s kubectl get nodes -o jsonpath='{.items[*].spec.podCIDR}'

microk8s默认Pod CIDR通常为10.1.0.0/16，确认网段后在InfluxDB所在的10.1.2.220虚拟机上添加静态路由：

# 临时生效，重启后失效
ip route add 10.1.0.0/16 via 10.1.2.50

如果需要永久生效，根据虚拟机的操作系统修改路由配置文件：

• 对于Debian/Ubuntu系统：将路由规则写入/etc/network/interfaces或者/etc/netplan配置中
• 对于CentOS/RHEL系统：写入/etc/sysconfig/network-scripts/route-<网卡名>文件中

方案2：配置SNAT规则（无需修改外部虚拟机配置） #

如果没有权限修改InfluxDB所在虚拟机的路由配置，可以在所有K8s集群节点上添加iptables SNAT规则，将所有发往InfluxDB的请求源IP替换为节点IP：

# 临时生效
iptables -t nat -A POSTROUTING -d 10.1.2.220/32 -p tcp --dport 8086 -j MASQUERADE

如果需要永久生效，可以将规则写入/etc/rc.local或者iptables持久化配置文件中。

替代简化方案：使用ExternalName Service #

如果你可以给InfluxDB配置内部域名，也可以直接创建ExternalName类型的Service，不需要手动维护Endpoint：

apiVersion: v1
kind: Service
metadata:
  name: influxdb-service
spec:
  type: ExternalName
  externalName: influxdb.your-internal-domain.com # 替换为InfluxDB的实际域名
  ports:
    - protocol: TCP
      port: 8086
      targetPort: 8086

配置后Pod可以直接通过influxdb-service:8086访问，同样需要先解决上述路由问题。

内容的提问来源于stack exchange，提问作者takilara