无法通过Master节点URL访问Kubernetes NodePort服务求助

咱们一步步拆解你遇到的问题：你在Kubernetes集群里部署了NodePort类型的Service，能通过Worker节点正常访问，但Master节点不行，而且kube-proxy在Master上是正常运行状态，节点污点也符合预期（不让Master调度业务Pod）。下面是最可能的原因和对应的排查步骤：

1. 先确认Master节点是否真的在监听目标端口 #

首先得搞清楚，Master节点的30300端口有没有被kube-proxy正常监听。在Master节点上执行以下命令：

# 用netstat检查端口监听状态
netstat -tulpn | grep 30300
# 或者用更高效的ss命令
ss -tulpn | grep 30300

如果没有任何输出，说明kube-proxy根本没在Master上配置这个端口的监听，这时候就得去查kube-proxy的配置和日志了。

2. 检查kube-proxy的运行模式与转发规则 #

Kube-proxy有iptables、ipvs、userspace三种运行模式，不同模式的转发逻辑不一样，咱们先确认当前模式：

kubectl get configmap kube-proxy -n kube-system -o yaml | grep mode

如果是iptables模式 #

检查Master节点上的iptables规则是否包含30300的转发条目：

iptables-save | grep 30300

如果找不到相关规则，说明kube-proxy没生成正确的转发规则——虽然你看到Pod是Running状态，但可能日志里有报错，去看看详细日志：

kubectl logs kube-proxy-r84wn -n kube-system

如果是ipvs模式 #

用ipvsadm检查规则是否存在：

ipvsadm -Ln | grep 30300

要是没有对应的规则，同样去查看kube-proxy的Pod日志排查问题。

3. 防火墙/安全组的限制 #

这是最常见的原因之一：Master节点的本地防火墙（比如firewalld或者iptables）可能把30300端口给挡住了，或者集群所在的云平台安全组没开放这个端口。

先检查Master节点的本地防火墙：

# 查看firewalld的开放端口列表
firewall-cmd --list-all
# 或者直接查iptables的INPUT链规则
iptables -L INPUT -n | grep 30300

如果没看到允许30300端口的规则，就添加进去：

firewall-cmd --add-port=30300/tcp --permanent
firewall-cmd --reload

要是你用的是云服务器，别忘了去云平台控制台检查安全组规则，确保外部能访问Master节点的30300端口。

4. 确认Service的端点是否正常 #

虽然你在Worker节点能访问，但还是确认下Service对应的Pod是不是正常就绪：

kubectl get endpoints xyz-edge -n qa

如果Endpoints里没有Pod的IP，说明Service和Pod的标签匹配有问题——不过这个概率很低，毕竟Worker节点能访问，但排查的时候还是确认下更稳妥。

5. 尝试重启Master节点的kube-proxy Pod #

有时候kube-proxy的规则可能因为节点网络变化或者规则冲突没正确生成，重启Pod能解决这类问题：

kubectl delete pod kube-proxy-r84wn -n kube-system

kube-proxy是DaemonSet类型的资源，删除后会自动重建，重建后再检查端口监听和转发规则是否正常。

内容的提问来源于stack exchange，提问作者sbolla