Kubernetes集群内Pod无法访问外部非Kubernetes服务问题求助

1. 节点层连通性验证 #

• 登录网关Pod所在的K8s节点，执行以下命令测试到外部服务的连通性：
  • ICMP连通性测试：ping <外部服务IP>
  • 端口连通性测试：nc -zv <外部服务IP> <服务端口> 或 telnet <外部服务IP> <服务端口>

  若节点本身无法连通，优先排查两台服务器之间的防火墙端口限制、底层路由规则，和K8s集群配置无关。

• 若节点可连通但Pod内无法连通，先确认外部服务器的白名单是否放行K8s集群的Pod CIDR段：Pod访问外部服务默认用自身PodIP作为源地址，仅放行K8s节点IP不会生效。

2. K8s集群出站规则排查 #

• 检查网关Pod所在命名空间的NetworkPolicy配置：
  执行命令：kubectl get networkpolicy -n <网关Pod所在命名空间>
  确认没有限制Pod到外部服务IP/端口的出站规则，若存在限制需新增对应出站白名单。
• 检查CNI插件的SNAT配置：
  以Calico为例执行：calicoctl get ippool -o wide，确认IP池的natOutgoing字段为true，该配置会将Pod访问外部的流量SNAT转换为节点IP，无需外部服务单独放行Pod网段。

3. 节点iptables规则排查 #

执行命令查看节点FORWARD链规则：iptables -t filter -L FORWARD -n -v
确认没有匹配Pod网段到外部服务IP的DROP规则，若存在需调整对应iptables配置。

4. 外部服务侧验证 #

• 登录外部服务所在服务器，确认服务未仅监听本地地址：
  执行命令：netstat -tunlp | grep <服务端口>，确认监听地址为0.0.0.0或对外提供服务的网卡IP。
• 确认外部服务器的防火墙规则除了IP白名单外，也开放了对应服务的端口。

快速验证方法 #

可以临时修改网关Pod配置，新增hostNetwork: true字段让Pod共享节点网络命名空间，若此时Pod可正常访问外部服务，即可确定是Pod网段未放行或CNI的SNAT配置异常导致的问题。

内容的提问来源于stack exchange，提问作者ripuvendra