Kubernetes网络数据包追踪与请求路由相关技术咨询

1. 如何追踪数据包以列出源Pod IP与目的Pod IP？ #

有几种实用的方法可以追踪数据包并获取源/目的Pod IP，你可以根据场景灵活选择：

• 直接在Pod内抓包：
  进入目标Pod的网络命名空间，用tcpdump实时抓取流量：

  kubectl exec -it <pod-name> -- tcpdump -n -i any
  

  参数说明：-n禁用域名解析（直接显示IP地址），-i any监听所有网络接口。执行后就能看到进出该Pod的所有数据包，源IP和目的IP会直接显示在输出里。

• 在节点上抓取Pod的流量：
  如果能访问Pod所在的节点，可以先定位Pod的网络命名空间，再进入该空间抓包：

  # 获取容器PID
  PID=$(kubectl get pod <pod-name> -o jsonpath='{.status.containerStatuses[0].containerID}' | cut -d'://' -f2 | xargs crictl inspect --format '{{.info.pid}}')
  # 进入容器网络命名空间抓包
  nsenter -t $PID -n tcpdump -n -i any
  

  这种方法适合Pod无法直接进入（比如应用崩溃）的场景。

• 用eBPF工具高效追踪：
  要是需要大规模、低开销的长期流量监控，推荐用eBPF工具（比如bcc或bpftrace）。比如用bpftrace写个简单脚本，监听TCP连接建立事件：

  tracepoint:tcp:tcp_connect {
    printf("Source IP: %s:%d, Dest IP: %s:%d\n",
           ntop(args->saddr), args->sport,
           ntop(args->daddr), args->dport);
  }
  

  相比tcpdump，这种方式不会生成海量数据包文件，对集群性能影响极小。

2. 在Kubernetes网络中，如何通过Service获取请求最终路由到的目的Pod IP？能否通过挂钩Netfilter来获取客户端Pod IP及数据包将路由到的服务端Pod IP？Kube-proxy是否会列出所有入站请求？ #

如何通过Service获取请求路由到的目的Pod IP？ #

这里有几个直接有效的方式：

• 查看Service对应的Endpoints：
  Service的Endpoints资源里保存了所有关联的Pod IP，执行以下命令就能看到：

  kubectl get endpoints <service-name>
  

  输出的ADDRESSES字段就是当前Service会路由到的Pod IP列表。不过这是静态列表，实际路由到哪个Pod还要看kube-proxy的负载均衡规则（比如iptables的随机/轮询，或者ipvs的算法）。

• 追踪实际请求的连接：
  在发起请求的客户端Pod里，用ss命令查看已建立的连接：

  kubectl exec -it <client-pod> -- ss -ntu | grep <service-ip>
  

  这里显示的目的IP就是实际路由到的Pod IP（因为Service的Cluster IP会被DNAT转换为Pod IP）。

• 查看节点上的iptables/ipvs规则：
  如果kube-proxy用的是iptables模式，执行以下命令找到Service对应的DNAT规则：

  iptables-save | grep <service-cluster-ip>
  

  规则里的--to-destination后面就是Pod IP（可能有多个，对应Endpoints里的列表）。如果是ipvs模式，用ipvsadm -Ln查看，能直接看到Service对应的后端Pod IP和端口。

能否通过挂钩Netfilter来获取客户端Pod IP及服务端Pod IP？ #

当然可以！Kubernetes的iptables模式kube-proxy本身就是基于Netfilter实现的，你可以通过以下方式利用Netfilter获取这些信息：

• 添加iptables日志规则：
  在节点的nat表中添加LOG规则，记录访问Service的数据包详情：

  # 记录访问Service的源IP（客户端Pod IP）和DNAT后的目的IP（服务端Pod IP）
  iptables -A PREROUTING -t nat -d <service-cluster-ip> -j LOG --log-prefix "SVC_TRAFFIC: " --log-level 6
  

  日志会输出到节点的系统日志（比如/var/log/syslog或/var/log/messages），里面包含SRC（客户端Pod IP）、DST（Service IP），以及DNAT字段显示转换后的服务端Pod IP。

• 用eBPF挂载Netfilter钩子：
  要是需要更灵活、低开销的采集方案，可以用eBPF程序挂载到Netfilter的NF_INET_PRE_ROUTING或NF_INET_POST_ROUTING钩子，直接在内核层获取数据包的源IP和经过DNAT后的目的IP。这种方式适合需要自定义处理流量数据的场景。

Kube-proxy是否会列出所有入站请求？ #

默认情况下不会。kube-proxy的核心职责是维护集群内的路由规则（iptables/ipvs），实现Service的负载均衡，它本身不会记录或列出每个入站请求。如果需要追踪请求，你需要依赖：

• 上面提到的iptables日志、tcpdump或eBPF工具
• 后端Pod的访问日志（比如应用本身记录的客户端IP）
• 服务网格工具（如Istio、Linkerd），它们提供了更全面的流量监控和追踪能力

内容的提问来源于stack exchange，提问作者user3946910