Docker Desktop Kubernetes 使用ClusterFirstWithHostNet时如何映射全端口

问题根因 #

Docker Desktop for Windows的K8s集群运行在WSL2或Hyper-V虚拟机内部，默认只配置了集群核心端口（如443）到Windows侧localhost的转发规则，同时未配置Windows侧到K8s节点子网的路由，因此你通过hostNetwork暴露的端口既无法通过节点IP访问，也无法通过localhost直接访问。

可行解决方案 #

方案1：WSL2后端配置静态路由（推荐，无业务侵入） #

如果你使用WSL2作为Docker Desktop的运行后端，只需要添加Windows到K8s节点子网的静态路由即可完全模拟标准K8s的访问行为：

• 打开Docker Desktop设置，进入「General」页确认「Use the WSL 2 based engine」已勾选，确认你的K8s节点IP段（示例为192.168.65.0/24）。
• 以管理员身份打开Windows终端，执行route print，在接口列表中找到名称包含「WSL」的虚拟网卡对应的接口索引值（示例为26）。
• 执行命令添加永久静态路由：
  route add 192.168.65.0 mask 255.255.255.0 0.0.0.0 IF 26 -p
• 配置完成后无需修改原有StatefulSet的任何配置，即可直接在Windows侧通过节点IP访问所有hostNetwork暴露的端口，和标准K8s行为完全一致。

方案2：Hyper-V后端配置端口段转发 #

如果你使用Hyper-V作为Docker Desktop的运行后端，可通过端口代理批量转发端口到K8s节点：

• 以管理员身份打开PowerShell，执行命令批量转发TCP端口段，示例将Windows本地10000-11000端口转发到K8s节点192.168.65.4的对应端口：
  netsh interface portproxy add v4tov4 listenaddress=0.0.0.0 listenport=10000-11000 connectaddress=192.168.65.4 connectport=10000-11000 protocol=tcp
• 如有UDP端口需求，重复上述命令将tcp替换为udp即可。
• 配置完成后可通过localhost:对应端口直接访问服务。

方案3：临时调试用批量端口转发 #

如果不想修改系统网络配置，可使用kubectl端口转发功能临时映射端口：
kubectl port-forward pod/你的Pod名称 10433:10433 10434:10434 --address 0.0.0.0
该方案无需调整系统配置，适合临时调试场景。

注意：如果配置完成后仍然无法访问，可临时关闭Windows Defender防火墙测试连通性，确认是防火墙拦截后按需添加对应网段/端口的放行规则即可。

内容的提问来源于stack exchange，提问作者MikolajMGT