如何在本地网络访问云端Kubernetes集群服务 无需kubectl端口转发

一、Docker容器中转方案（最轻量化首选） #

• 仅需要本地网络内一台任意设备持有集群访问权限，其余开发者设备无需任何集群凭证、也不用安装kubectl
• 操作步骤：
  1. 在中转设备上提前配置好可用的kubeconfig凭证，确保设备本身可以正常访问目标K8s集群
  2. 运行kubectl proxy容器暴露代理端口到本地局域网：

  docker run -d \
    -p 8001:8001 \
    -v /本地kubeconfig路径/config:/root/.kube/config \
    bitnami/kubectl proxy --address='0.0.0.0' --accept-hosts='^192\.168\..*|10\..*|172\.(1[6-9]|2[0-9]|3[01])\..*$'
  

  上述命令默认只允许本地私网网段访问，避免公网暴露风险，开发者直接通过http://中转设备IP:8001/api/v1/namespaces/[命名空间]/services/[服务名]:[端口]/proxy/的格式即可访问集群内部服务
  3. 如果需要固定端口访问特定服务，可以额外运行socat容器转发指定服务端口，比如转发default命名空间下的80端口的web服务到本地8080端口：

  docker run -d \
    -p 8080:8080 \
    -v /本地kubeconfig路径/config:/root/.kube/config \
    alpine/socat TCP-LISTEN:8080,fork EXEC:"kubectl exec -n default svc/web -- nc 127.0.0.1 80"
  

二、集群DNS转发实现 #

• 要实现本地直接解析集群内部域名，只需要在中转设备上额外运行一个CoreDNS容器，配置上游为集群DNS地址即可：
  1. 先获取集群内部DNS服务IP：kubectl get svc kube-dns -n kube-system -o jsonpath='{.spec.clusterIP}'
  2. 编写CoreDNS配置文件Corefile：

  .:53 {
      forward . 集群DNSIP
      log
      errors
  }
  

  3. 运行CoreDNS容器暴露53端口：

  docker run -d -p 53:53/udp -p 53:53/tcp -v $PWD/Corefile:/Corefile coredns/coredns
  

• 开发者仅需要将自己设备上*.svc.cluster.local后缀的域名解析指向中转设备IP，就可以直接用集群内部域名访问对应服务

三、虚拟机方案（适配高隔离需求场景） #

• 如果需要更高的网络隔离性，可以在本地部署一台轻量Linux虚拟机，仅在虚拟机内部配置集群访问权限
• 在虚拟机内批量配置端口转发规则或者运行代理服务，将需要开放的端口和DNS服务暴露到本地网络，虚拟机可以打包成通用镜像，需要扩容时直接分发启动即可，无需额外配置集群权限

四、安全优化建议 #

• 中转设备使用的kubeconfig建议配置最小权限RBAC规则，仅开放开发者需要访问的服务对应权限，避免全集群权限泄露
• 所有暴露到局域网的代理端口建议配置IP白名单，仅允许内部开发者设备网段访问，避免未授权访问

内容的提问来源于stack exchange，提问作者McKnight