单节点Kubernetes中HostNetwork Pod的MySQL端口暴露问题求助

嘿，别担心术语使用的问题，咱们很快就能搞清楚问题出在哪～

你的核心问题出在**hostNetwork: true**这个配置上——当你给Pod设置这个参数时，整个Pod里的所有容器都会直接使用宿主机的网络命名空间。这意味着：

• 不管你有没有给容器配置hostPort，只要容器里的服务（比如MySQL）监听的是0.0.0.0（大多数数据库默认都是这个监听地址），它就会直接绑定到宿主机的对应端口上，自然就暴露到公网了。
• 你给PowerDNS配置hostPort其实是多余的，因为hostNetwork: true已经让容器端口直接映射到宿主机了。

正确的配置方案 #

我们需要抛弃hostNetwork: true和hostPort，改用Kubernetes的Service来实现你的需求：

1. 调整Pod配置
   去掉Pod的hostNetwork: true设置，让Pod使用Kubernetes默认的隔离网络。两个容器正常监听各自的端口（MySQL 3306，PowerDNS 53）即可，不需要配置hostPort。

2. 配置PowerDNS的Service（暴露到公网）
   因为你是单节点集群且没有外部负载均衡，用NodePort类型的Service来暴露PowerDNS的53端口（注意DNS同时使用TCP和UDP协议，两个都要配置）：

   apiVersion: v1
   kind: Service
   metadata:
     name: powerdns-service
   spec:
     type: NodePort
     selector:
       # 这里替换成你的Pod标签
       app: your-pod-label
     ports:
       - name: dns-udp
         protocol: UDP
         port: 53
         targetPort: 53
         nodePort: 30053 # 可选，指定宿主机端口，范围30000-32767
       - name: dns-tcp
         protocol: TCP
         port: 53
         targetPort: 53
         nodePort: 30053 # 可以和UDP用同一个NodePort
   

   这样PowerDNS的53端口就会通过宿主机的NodePort暴露到公网，同时不会影响其他容器的端口。

3. 保留MySQL的ClusterIP Service
   你原来配置的ClusterIP类型Service完全没问题，它只会在集群内部暴露MySQL的3306端口，外部无法访问。只要PowerDNS容器通过Service的名称（比如mysql-service）访问MySQL，就能正常连接。

额外注意点 #

• 确保MySQL容器的监听地址是127.0.0.1或者Pod的内部IP（如果需要在Pod内部访问），不过即使它监听0.0.0.0，只要Pod使用默认网络，这个端口也只会在Pod内部和ClusterIP Service可见，不会暴露到宿主机/公网。
• 如果你的宿主机防火墙有规则，记得放行NodePort对应的端口（比如上面的30053），否则公网还是无法访问PowerDNS。

内容的提问来源于stack exchange，提问作者Clark Nova