如何在不开放主机防火墙端口的前提下从Kubernetes Pod访问主机本地端口

你之前的DaemonSet方案失败大概率是网络栈配置不匹配，以下是可直接落地的方案，全程不需要在宿主机防火墙开放公网访问端口，仅依赖K8s原生CNI网络规则放行集群内部流量：

核心思路 #

用开启hostNetwork的Nginx DaemonSet作为本地代理，共享宿主机网络栈后可直接访问节点本地的127.0.0.1:8000端口，再通过K8s Service对集群暴露代理入口，同时支持集群内Pod直接访问、Ingress对外暴露两种场景。

配置示例 #

1. 代理DaemonSet与Service配置 #

apiVersion: apps/v1
kind: DaemonSet
metadata:
  name: localhost-app-proxy
  labels:
    app: localhost-app-proxy
spec:
  selector:
    matchLabels:
      app: localhost-app-proxy
  template:
    metadata:
      labels:
        app: localhost-app-proxy
    spec:
      hostNetwork: true # 关键配置，共享宿主机网络栈，可直接访问节点localhost
      containers:
      - name: nginx
        image: nginx:stable-alpine
        ports:
        - containerPort: 18000 # 代理服务监听端口
        volumeMounts:
        - name: proxy-config
          mountPath: /etc/nginx/conf.d/
      volumes:
      - name: proxy-config
        configMap:
          name: localhost-proxy-conf
---
# Nginx代理配置
apiVersion: v1
kind: ConfigMap
metadata:
  name: localhost-proxy-conf
data:
  default.conf: |
    server {
        listen 18000;
        location / {
            proxy_pass http://127.0.0.1:8000;
            proxy_set_header Host $http_host;
            proxy_set_header X-Real-IP $remote_addr;
        }
    }
---
# 集群访问入口Service
apiVersion: v1
kind: Service
metadata:
  name: localhost-app
spec:
  selector:
    app: localhost-app-proxy
  ports:
  - port: 80
    targetPort: 18000
  # 可选配置：开启就近访问，Pod默认访问同节点的代理，匹配你第一条预期链路
  internalTrafficPolicy: Local

2. Ingress对外暴露配置 #

如果需要集群外部访问，直接配置Ingress代理上述Service即可：

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: localhost-app-ingress
spec:
  ingressClassName: nginx # 替换为你集群使用的Ingress类名
  rules:
  - host: your-app-domain.com # 替换为实际访问域名
    http:
      paths:
      - path: /
        pathType: Prefix
        backend:
          service:
            name: localhost-app
            port:
              number: 80

验证说明 #

• 集群内任意Pod访问http://localhost-app即可访问到对应节点的127.0.0.1:8000服务，如需访问指定节点的服务，可直接解析Service域名拿到各代理Pod的IP，访问对应IP即可。
• 集群外部通过你配置的Ingress域名即可访问服务，流量会通过Ingress转发到不同节点的代理服务，再访问对应节点的本地应用。
• 全程不需要在宿主机防火墙开放8000、18000端口，K8s原生iptables规则会自动放行集群内部CNI网络到代理端口的流量，仅集群内部和Ingress入口可访问，符合安全要求。

可选安全优化 #

如果不想开启hostNetwork共享宿主机网络栈，可以将宿主机本地应用同时绑定到Unix Domain Socket（比如/run/app/app.sock），然后将该目录通过hostPath挂载到DaemonSet Pod中，Nginx配置代理到Unix Socket即可，安全等级更高。

内容的提问来源于stack exchange，提问作者Eric Gagnon