如何为专用服务器上的Pod分配公网IP并开放对应端口

以下方案均无需依赖虚拟机，也不存在MetalLB绑定Service带来的带宽浪费问题：

1. Macvlan/IPvlan CNI 二层直连方案 #

该方案直接将Pod接入公网所在二层网络，IP直接分配给Pod本身：

• 操作步骤：
  • 开启集群节点公网物理网卡的混杂模式：ip link set 你的公网网卡名 promisc on
  • 部署Macvlan或IPvlan CNI插件，将IP池配置为你的可用公网IP段，网关指向公网出口路由
  • 创建Pod时指定该CNI网络，Pod启动后会直接拿到独立公网IP，端口开放直接通过网络策略或节点iptables规则配置即可，无需额外端口映射
• 适用场景：你的公网IP段支持二层广播可达，运营商未绑定IP和节点MAC地址

2. Calico BGP三层宣告方案 #

该方案通过路由协议直接把Pod的公网IP宣告到公网出口，无二层网络限制：

• 操作步骤：
  • 在Calico中创建公网IP池，配置natOutgoing: false关闭不必要的源地址转换
  • 配置Calico BGP邻居，和上层公网路由器建立BGP会话，开启Pod IP的自动宣告能力
  • 后续创建的Pod会自动分配公网IP，公网流量会被路由器直接转发到对应Pod所在节点，不需要经过Service中转
• 适用场景：公网IP段是三层路由到你的集群所在机房，可和上层设备建立BGP会话

3. Multus多网卡适配方案 #

如果需要Pod同时保留集群内网访问能力，可搭配Multus CNI实现双网卡：

• 部署Multus作为集群多CNI管理插件，默认网卡走常规集群内网CNI（如Calico、Flannel）满足集群内部通信
• 额外配置一张Macvlan/IPvlan类型的公网网卡，给每个Pod分配独立公网IP
• Pod内服务可自行选择监听公网IP或内网IP，两种网络互不干扰

所有方案的公网流量均直接到达Pod，没有额外的转发开销，不会出现带宽浪费问题。

内容的提问来源于stack exchange，提问作者Lod