Kubernetes服务间HTTP请求转发问题：1主2Worker节点环境

先明确下你的场景：你有1个Master节点和2个Worker节点，每个Worker上都运行了一个NodePort类型的服务，现在想把发往第一个Worker节点上Service1的HTTP请求，转发到第二个Worker节点上Service2的Pod里。你已经尝试配置了部分iptables规则，但还没完成，我来帮你完善方案，同时也给你一些更稳定的替代思路。

一、完善你的iptables规则方案 #

首先要注意：Kubernetes的kube-proxy会在节点上生成大量iptables规则，而且优先级通常很高，直接在PREROUTING链末尾加规则的话，可能会被K8s自带的NodePort规则抢先匹配，导致你的转发不生效。另外，你还缺少关键的SNAT规则，这会让返回包的路径异常，造成连接中断。

完整的iptables命令如下： #

# 先清理可能已存在的重复规则（可选，避免冲突）
iptables -t nat -D PREROUTING -i eth0 -p tcp --dport <nodeport-of-service1> -j DNAT --to <public IP of worker2>:<nodeport-of-service2> 2>/dev/null
iptables -t nat -D POSTROUTING -d <public IP of worker2> -p tcp --dport <nodeport-of-service2> -j SNAT --to-source <local-ip-of-worker1> 2>/dev/null

# 将转发规则插入到PREROUTING链的最前面，优先于K8s的规则匹配
iptables -t nat -I PREROUTING 1 -i eth0 -p tcp --dport <nodeport-of-service1> -j DNAT --to <public IP of worker2>:<nodeport-of-service2>

# 添加SNAT规则：让Worker2返回的数据包先回到Worker1，再转发给客户端
# 这里的<local-ip-of-worker1>是Worker1自身的内网/公网IP，确保Worker2能访问到它
iptables -t nat -A POSTROUTING -d <public IP of worker2> -p tcp --dport <nodeport-of-service2> -j SNAT --to-source <local-ip-of-worker1>

规则解释： #

• DNAT：把发往Worker1的Service1端口的请求，目标地址改成Worker2的IP和Service2的NodePort。
• SNAT：这是关键！如果没有这条规则，Worker2的服务返回包会直接发给客户端，而客户端的请求是发给Worker1的，客户端会因为收到“陌生”的返回包而断开连接。SNAT会把请求的源地址改成Worker1的IP，让返回包先回到Worker1，再由Worker1转发给客户端，保证连接的完整性。

验证规则是否生效： #

1. 查看nat表的规则是否存在：

   iptables -t nat -L PREROUTING -n --line-numbers
   iptables -t nat -L POSTROUTING -n --line-numbers
   

2. 用curl测试：

   curl http://<worker1-ip>:<nodeport-of-service1>
   

   如果返回的是Service2的内容，说明转发成功。

二、更稳定的替代方案：Nginx反向代理 #

因为Kubernetes的kube-proxy会定期刷新节点上的iptables规则（尤其是当服务有变更时），你手动添加的规则很可能被覆盖。如果是生产环境，更推荐用Nginx做反向代理：

步骤： #

1. 在Worker1上安装Nginx（或者用Docker运行）。
2. 创建Nginx配置文件/etc/nginx/conf.d/forward.conf：

   server {
       listen <nodeport-of-service1>;
       server_name _;
   
       location / {
           # 转发到Worker2的Service2地址
           proxy_pass http://<public IP of worker2>:<nodeport-of-service2>;
           # 传递必要的HTTP头，避免后端服务报错
           proxy_set_header Host $host;
           proxy_set_header X-Real-IP $remote_addr;
           proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
       }
   }
   

3. 重启Nginx生效：

   systemctl restart nginx
   # 如果用Docker的话：
   docker run -d --name forward-proxy -p <nodeport-of-service1>:<nodeport-of-service1> -v $(pwd)/forward.conf:/etc/nginx/conf.d/forward.conf nginx
   

优势： #

• 不受K8s iptables规则刷新的影响，稳定性更高。
• 支持更多高级配置，比如路径重写、请求限流、HTTPS转发等。
• 更容易排查问题，Nginx的日志可以清晰看到转发情况。

三、注意事项 #

• 确保Worker1和Worker2之间的网络是互通的，Worker1能正常访问Worker2的NodePort端口。
• 如果用iptables方案，建议把规则保存到文件，用iptables-save > /etc/iptables/rules.v4，然后配置systemd服务开机自动加载，避免节点重启后规则丢失。
• 如果你的NodePort服务绑定了特定的IP（比如只绑定内网IP），要调整iptables规则里的-i eth0参数，改成对应的网卡或者去掉（匹配所有网卡）。

内容的提问来源于stack exchange，提问作者asdf