如何将K8s集群内选举式主从服务（MongoDB副本集）暴露到外部？

刚好碰到过类似的MongoDB副本集暴露需求，你这个问题的核心是NodePort的负载均衡特性和副本集需要直连每个节点的需求冲突了——毕竟副本集不仅要求客户端能连主节点写，还要能连从节点读，而且选举过程也需要每个节点都能被外部访问到。下面给你几个可行的解决方案，根据你的集群环境选就行：

方案1: 用HostPort直接绑定节点端口 #

这个方式最直接，让每个MongoDB Pod在所在节点上绑定一个专属端口，外部通过节点IP:HostPort就能直接访问对应Pod。

举个Pod配置示例：

apiVersion: v1
kind: Pod
metadata:
  name: mongodb-replica-0
  labels:
    app: mongodb
    replica: 0
spec:
  containers:
  - name: mongodb
    image: mongo:latest
    ports:
    - containerPort: 27017
      hostPort: 27018  # 三个副本分别用27018、27019、27020这类不同端口
    args: ["--replSet", "rs0"]

• 🌟 优点：配置简单，不需要额外的Service资源
• ⚠️ 缺点：同一节点上不能有两个Pod用相同的HostPort，会限制Pod调度；客户端需要维护每个Pod对应的节点IP和端口映射

方案2: 为每个副本单独创建NodePort Service #

给三个MongoDB副本分别创建独立的NodePort Service，每个Service对应一个固定的NodePort，外部通过集群内任意节点IP:NodePort就能访问到对应的Pod（不用关心Pod跑在哪个节点）。

示例Service配置（以第一个副本为例）：

apiVersion: v1
kind: Service
metadata:
  name: mongodb-replica-0-nodeport
spec:
  type: NodePort
  selector:
    app: mongodb
    replica: 0  # 精准匹配对应的Pod标签
  ports:
  - port: 27017
    nodePort: 30000  # 三个副本用不同的NodePort，要在集群NodePort的默认范围（30000-32767）内
    targetPort: 27017

• 🌟 优点：每个副本有固定的外部访问入口，客户端不用跟踪Pod的调度位置
• ⚠️ 缺点：需要手动维护3个Service，会占用多个NodePort端口，集群NodePort资源有限的话要注意规划

方案3: 使用LoadBalancer Service（云环境首选） #

如果你的K8s集群跑在AWS、GCP、Azure这类云平台上，给每个MongoDB副本创建一个LoadBalancer Service是最省心的——云平台会自动给每个Service分配独立的公网IP，外部直接用这个IP就能访问对应Pod。

示例配置：

apiVersion: v1
kind: Service
metadata:
  name: mongodb-replica-0-lb
spec:
  type: LoadBalancer
  selector:
    app: mongodb
    replica: 0
  ports:
  - port: 27017
    targetPort: 27017

• 🌟 优点：每个副本有独立的公网IP，访问方式最直观，客户端不用处理端口映射
• ⚠️ 缺点：云平台的LoadBalancer通常会产生额外费用，资源开销相对高一些

方案4: 借助Ingress Controller的TCP代理（适合已有Ingress的场景） #

如果你的集群已经部署了支持TCP转发的Ingress Controller（比如NGINX Ingress），可以通过配置TCP规则，把不同的外部端口映射到对应的MongoDB Pod，不用创建多个Service。

第一步，在Ingress Controller的命名空间下创建TCP配置的ConfigMap：

apiVersion: v1
kind: ConfigMap
metadata:
  name: nginx-ingress-tcp
  namespace: ingress-nginx  # 改成你的Ingress Controller所在命名空间
data:
  27018: "default/mongodb-replica-0:27017"  # 格式：外部端口: "命名空间/服务名:容器端口"
  27019: "default/mongodb-replica-1:27017"
  27020: "default/mongodb-replica-2:27017"

第二步，更新Ingress Controller的Deployment，挂载这个ConfigMap并添加TCP端口监听：

# 给Ingress Controller的Deployment添加以下内容
spec:
  template:
    spec:
      containers:
      - name: nginx-ingress-controller
        ports:
        - name: tcp-27018
          containerPort: 27018
          hostPort: 27018
        - name: tcp-27019
          containerPort: 27019
          hostPort: 27019
        - name: tcp-27020
          containerPort: 27020
          hostPort: 27020
        volumeMounts:
        - name: tcp-config
          mountPath: /etc/nginx/tcp-services.d
      volumes:
      - name: tcp-config
        configMap:
          name: nginx-ingress-tcp

• 🌟 优点：复用现有Ingress资源，不用额外创建多个Service
• ⚠️ 缺点：配置相对繁琐，要求Ingress Controller支持TCP转发

额外重要提醒 #

不管用哪种方案，都要做好这两件事：

1. 确保MongoDB的bindIp设置为0.0.0.0，允许外部连接；
2. 配置副本集成员时，要使用外部可访问的地址（比如NodePort的节点IP:端口、LoadBalancer的公网IP），不然客户端连接后会发现副本集成员无法访问，导致读写请求失败。

生产环境记得配合安全组/防火墙规则，限制只有信任的IP能访问MongoDB端口，避免暴露风险。

内容的提问来源于stack exchange，提问作者licorna