裸金属Kubernetes集群如何将Istio-ingressgateway对外暴露为80端口

针对你当前的集群场景，以下4种可落地方案按推荐优先级排序：

方案1：部署MetalLB实现LoadBalancer能力（生产环境最推荐） #

裸金属集群默认没有云厂商的LoadBalancer实现，因此istio-ingressgateway的EXTERNAL-IP才会显示为<pending>，部署MetalLB后可自动为LoadBalancer类型服务分配可达的对外IP，直接复用80端口：

• 安装MetalLB组件，配置地址池为集群所在网段内空闲的公网/内网IP段
• 配置完成后istio-ingressgateway会自动分配到地址池中的IP，直接访问该IP的80端口即可对应到内部服务
• 优点：完全符合Kubernetes标准使用逻辑，无需修改Istio默认配置，后续新增服务也可直接用LoadBalancer类型暴露
• 注意事项：确保配置的MetalLB地址池IP段未被其他设备占用，且集群节点可正常宣告这些IP

方案2：修改Istio ingressgateway为HostNetwork模式 #

直接让istio-ingressgateway的Pod占用宿主机节点的80、443端口：

• 编辑Istio的IngressGateway部署配置，添加hostNetwork: true参数，同时将dnsPolicy设置为ClusterFirstWithHostNet
• 重新部署后ingressgateway的Pod会直接监听所在节点的80、443端口，用户访问任意部署了ingressgateway的节点IP的80端口即可访问服务
• 优点：配置简单无额外组件依赖，没有额外网络损耗
• 注意事项：每个节点最多只能部署一个ingressgateway Pod，否则会出现端口占用冲突，建议配合节点亲和性将ingressgateway调度到固定的边缘节点

方案3：前端添加四层负载均衡转发 #

在集群前端部署独立的Nginx或硬件负载均衡设备，做四层端口转发：

• 在负载均衡设备上配置80端口流量转发到所有集群工作节点的31106端口，443端口流量转发到所有工作节点的31791端口，同时配置节点健康检查自动剔除故障节点
• 用户直接访问负载均衡的公网IP的80端口即可
• 优点：无需修改集群内部任何配置，可灵活调整转发策略
• 注意事项：负载均衡设备需要做高可用避免单点故障

方案4：iptables端口转发（仅临时测试使用，不推荐生产） #

如果仅做临时验证，可以直接在集群节点上配置iptables规则，将宿主机80端口的流量转发到31106端口：

iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-port 31106

• 优点：操作最快，无需额外配置
• 缺点：节点重启后规则会丢失，需要额外配置持久化，生产环境容易出现规则冲突问题

所有方案配置完成后，将域名example.com解析到对应的对外IP（MetalLB分配的IP/HostNetwork所在节点IP/前端负载均衡IP），用户即可直接通过http://example.com/访问服务，无需加端口号。

内容的提问来源于stack exchange，提问作者hubert