K8s设置service的nodeport以后外部无法访问对应的端口的问题

最新推荐文章于 2025-09-28 21:09:45 发布
原创 最新推荐文章于 2025-09-28 21:09:45 发布 · 9.2k 阅读 · 11 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#linux #运维

博客讲述了在Kubernetes环境中，使用NodePort模式服务时遇到外部无法访问的问题。问题根源在于Docker 1.13版本后iptables的FORWARD链默认策略变为DROP，导致不同主机间通信受阻。临时解决方案是通过iptables命令设置FORWARD链为ACCEPT，但重启后会失效。永久解决方法是在Docker服务配置中添加启动参数，修改iptables规则，确保重启后依然生效。

于Service 设置为NodePort 模式后导致外部无法访问对应的端口问题，查看下node节点上已经出现了30002端口的监听，确保服务器外部安全组等限制已经放行该端口，按照网上搜到的教程配置基本没看到要配置iptables相关的问题。
然后查阅了不少资料才看到docker 1.13 版本对iptables的规则进行了改动，默认FORWARD 链的规则为DROP ，带来的问题主要一旦DROP后，不同主机间就不能正常通信了（kubernetes的网络使用flannel的情况）。
查看下node节点上的iptables规则：

[root@k8s-master ~]# iptables -L -n
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
KUBE-FIREWALL  all  --  0.0.0.0/0            0.0.0.0/0           
 
Chain FORWARD (policy DROP)
target     prot opt source               destination         
DOCKER-ISOLATION  all  --  0.0.0.0/0            0.0.0.0/0           
DOCKER     all  --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0            ctstate RELATED,ESTABLISHED
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0  

iptables 被kubernetes接管后的规则比较多，仔细看下FORWARD 规则就发现了，policy DROP状态，这就导致了我们直接访问node节点的IP加上端口会无法访问容器，问题出在iptables上就好解决了。
临时解决方案，直接设置FORWARD 全局为ACCEPT：

[root@k8s-master ~]# iptables -P FORWARD ACCEPT

[root@k8s-master ~]# iptables -L -n
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
KUBE-FIREWALL  all  --  0.0.0.0/0            0.0.0.0/0           
 
Chain FORWARD (policy ACCEPT)

这样需要在每台node上执行命令，并且重启node后规则失效；
永久解决方案，修改Docker启动参数，在[Service] 区域末尾加上参数：

[root@k8s-master ~]# vim /usr/lib/systemd/system/docker.service
[Service]
............
ExecStartPost=/sbin/iptables -I FORWARD -s 0.0.0.0/0 -j ACCEPT

[root@k8s-master ~]# systemctl daemon-reload
[root@k8s-master ~]# systemctl restart docker

由于修改了systemctl 文件，所以需要重新载入，重启docker 就可以看到iptables规则已经加上ACCEPT all – 0.0.0.0/0 0.0.0.0/0

登录后复制
[root@k8s-master ~]#  iptables -L -n
Chain INPUT (policy DROP)
target     prot opt source               destination         
KUBE-FIREWALL  all  --  0.0.0.0/0            0.0.0.0/0           
 
Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0 
-----------------------------------
 

k8s service clusterip&nodeport访问不通
csdn问鼎
06-18 2982
k8s service clusterip&nodeport访问不通
K8s外部网络访问之NodePort
weixin_40732273的博客
10-22 709
本章节要实现的功能： （1）k8s内部服务配置nodeport模式.通过浏览器访问k8s内部服务，发出http请求http://nodeIp:nodeport/hello,并得到回复 （2）内部服务收到http请求后也会打印对应日志
设置service的nodeport以后外部无法访问对应的端口的问题
weixin_34268579的博客
04-13 2981
关于Service 设置为NodePort 模式后导致外部无法访问对应的端口问题，查看下node节点上已经出现了30002端口的监听，确保服务器外部安全组等限制已经放行该端口，按照网上搜到的教程配置基本没看到要配置iptables相关的问题。 然后查阅了不少资料才看到docker 1.13 版本对iptables的规则进行了改动，默认FORWARD 链的规则为DROP ，带来的问题主要一旦DROP...
K8s部署与NodePort暴露全指南
最新发布
2303_78660565的博客
09-28 956
本文介绍了如何在Kubernetes集群中配置Deployment端口并创建NodePort Service以实现外部访问。主要内容包括：1）Deployment、Pod和Service的协作关系；2）配置Deployment的containerPort声明容器监听端口；3）创建NodePort类型的Service及其关键字段说明；4）命名空间隔离机制；5）具体操作步骤和验证方法；6）常见错误及解决方案。通过修改front-end Deployment暴露80端口并创建front-end-svc Servi
kubernetes踩坑：nodePort拒绝访问的问题
热门推荐
JinchaoLv的博客
03-26 2万+
（1）找到pod所在节点，从pod所在k8s节点上通过{nodeIp}:{nodePort}访问，如果访问不了，可能是pod或service没有成功部署； （2）从其它node节点通过{nodeIp}:{nodePort}访问，如果不能访问，执行 kubectl describe pod {podName} -n={namespace} 查看pod描述信息，找到pod ip，直接对着pod访问{...
记一次k8s service设置nodeport访问外网失败案例
qq_45034687的博客
11-07 1662
今天有一个项目做service nodeport转发，结果设置完之后发现外网访问失败。curl: (7) Failed connect to 192.168.213.138:31234; Connection refused
紧急！！k8s集群ClusterIp:NodePort无法从外部访问！！！
ytbcc的博客
01-25 1043
k8s集群ClusterIp:NodePort无法从外部访问
82、k8s的service-NodePort端口开放和生命周期
m0_74149099的博客
08-28 1763
#没加自定义命名空间，进入不了容器-------------------以上纯属看错误--------------------[root@master01 ~]# kubectl exec -it -n xy102 nginx1-654cb56c4-7plg2 bash ##自定义命令空间，需要添加命令空间，进入pod的容器NodePort：service根据标签来匹配对应的pod，只要标签匹配，都能转发到指定的pod内的容器。
k8s-nodeport类型service与ingress
查士丁尼绵_的博客
08-21 3874
nodeport类型的服务通过每个节点上暴露的ip和端口路由到ClusterIP服务，所以可从外部访问。外部客户端如何通过负载均衡器和Ingress控制器访问到pod？
k8s学习 k8s使用nodeport方式配置service对外暴露服务
山巅
12-06 5262
k8s学习 k8s使用nodeport方式配置service对外暴露服务1、创建yaml service.yaml 把集群中的mysql 服务对外暴露2、用node ip 访问 1、创建yaml service.yaml 把集群中的mysql 服务对外暴露 --- apiVersion: v1 kind: Service metadata: name: mysql-service labels: name: mysql-service spec: type: NodePort
NodePort 只能在node节点上访问，外部无法访问
weixin_30314793的博客
04-21 1790
创建了一个NodePort类型的jenkins service，node port 30000，node节点ip为192.168.56.101, 在node节点上通过浏览器能正常访问http://192.168.56.101:30000, 但是局域网通过另一台机器却不能访问，机器互通是没问题的（能ping通也没有防火墙），另外同时映射container的hostPort（30001），是能访问h...
集群外部无法通过 NodePort 方式访问 Prometheus 的 Web UI
fangment1的博客
08-20 1050
在k8s中Prometheus 服务的 NodePort 已经正确配置，但集群外部无法通过 NodePort 方式访问 Prometheus 的 Web UI。排查一：从输出结果来看，服务已经正确配置了两个端口：一个是用于 Web 端口的9090（NodePort 为32148），另一个是用于重新加载 Web 端口的8080（NodePort 为31109成功获取了Prometheus Web UI 的 HTML 页面。
k8s service nodePort无法访问的问题
weixin_45958218的博客
11-11 5791
K8s集群中各节点无法访问问题
Kubernetes生产实战(二)：NodePort无法访问排查指南(网络策略&&生产环境优化)
sre救赎之路
05-10 1293
NodePort实现原理：kube-proxy通过监听API Server，动态维护iptables/IPVS规则，将NodePort流量转发到后端Pod。为什么默认端口范围是30000-32767：避免与Linux系统端口（0-1023）和用户端口（1024-29999）冲突。NetworkPolicy的隐藏影响：即使没有显式定义NetworkPolicy，某些CNI插件（如Calico）的默认拒绝策略也可能阻断流量。
K8S NodePort无法访问MySQL
smokelee的博客
02-21 2309
K8s单机部署填坑 1. 设置Docker存储路径 1.13.1 或者其它版本开始，要设置daemon.json的字段为“graph”，较早版本“data-root” { "registry-mirrors":["http://hub-mirror.c.163.com"], "graph":"/data/docker" } 2. kubectl create -f yaml后一直Contai...
解决k8s 外网无法访问nodePort问题
会哭的雨@的博客
09-18 5485
K8S 外部端口无法访问问题 问题描述 解决方法 问题描述 首先容器外部端口肯定开放了，可在Dashboard上查看 在容器所在服务器，通过curl命令直接访问外部端口的接口能够正常访问 在windows端通过telnet容器端口命令，无法访问容器的暴露出来的外部端口 解决方法 容器所在的服务器执行，开启转发功能 iptables -P FORWARD ACCEPT ...
mac电脑下无法访问minikube的NodePort端口
俞兆鹏的博客
07-15 1万+
通过openvpn等，解决mac电脑里无法访问minikube的service问题。
k8s nodeport无法访问_k8s系列教程二：极速入门
weixin_39912163的博客
11-28 1807
作者：潘吉祥 | 转载请注明来源环境准备1. centOS-7(虚拟机或物理机均可)2. 关闭防火墙，更新源systemctl disable firewalld #禁用防火墙systemctl stop firewalld #关闭防火墙yum update #更新yum源3.安装etcd和kubernetesetcd作为kubernetes的信息保存中心，相当于我们熟知的zookeeper。这里...
k8s nodeport和targetport以及port的设置建议
06-12
<think>我们正在讨论Kubernetes中Service的端口配置：nodePort、targetPort和port。根据引用[1]、[2]、[3]、[4]、[5]的内容，这些端口分别代表：-**targetPort**：Pod内容器监听的端口，即容器实际暴露的端口（如Dockerfile中EXPOSE的端口）。-**port**：Service在集群内部暴露的端口，其他Pod通过该端口访问Service。-**nodePort**：当Service类型为NodePort或LoadBalancer时，在集群节点上映射的端口，外部用户可以通过该端口访问Service。最佳配置建议基于以下几点：1.**targetPort**：-应设置为Pod内容器实际监听的端口，例如，nginx容器通常为80。-如果容器暴露了多个端口，可以为每个端口定义Service端口映射。-确保与Dockerfile中的EXPOSE端口一致（引用[3]、[5]）。2.**port**：-是集群内部的Service端口，建议选择不冲突且符合内部通信规范的端口。-例如，如果容器在80端口监听，Service的port可以设置为80（与targetPort相同）或任何其他值（如8080），但调用方需使用该port访问服务（引用[1]、[3]、[4]）。-注意：集群内其他服务访问此Service时，使用Service名称和port（如`mysql-service:33306`）。3.**nodePort**：-当需要从集群外部访问时，Service类型应设为NodePort（或LoadBalancer）。-nodePort的默认范围是30000-32767（Kubernetes默认），可以手动指定在该范围内的端口。-避免使用已知冲突端口，且不建议手动指定固定nodePort（除非必要），可由系统自动分配（引用[1]、[3]、[4]）。具体建议：-**通用场景**：```yamlapiVersion:v1kind:Servicemetadata:name:nginx-servicespec:type:NodePortselector:app:nginxports:-port:80#集群内访问的端口targetPort:80#Pod内容器的端口#不指定nodePort，由Kubernetes自动分配```-**自定义内部端口**：如果容器在80端口监听，但希望内部服务通过8080端口访问：```yamlports:-port:8080#集群内访问的端口targetPort:80#容器端口```-**固定nodePort（谨慎使用）**：```yamlports:-port:80targetPort:80nodePort:30001#手动指定，必须在30000-32767范围内```**最佳实践总结**：1.优先让系统自动分配nodePort，减少手动维护成本。2.targetPort必须与容器实际端口一致。3.port在集群内部应保持唯一，避免冲突；通常与targetPort相同，也可自定义（需确保调用方知晓）。4.若容器端口变更，只需更新Service的targetPort，无需改变port（集群内访问方式不变）。5.外部访问时，通过NodeIP:nodePort或LoadBalancer地址访问。**注意事项**：-安全组/防火墙需开放nodePort范围（30000-32767）以允许外部流量。-使用命名端口（如直接使用容器配置中定义的端口名称）可提高可读性和可维护性，例如：```yamlports:-name:httpport:80targetPort:web-server-port#对应Pod的containerPort名称```在Pod定义中：```yamlcontainers:-name:nginxports:-containerPort:80name:web-server-port```通过合理配置，确保Service正确路由流量至后端Pod，同时保障可维护性和安全性。</think> ### Kubernetes NodePort、TargetPort 和 Port 的最佳配置建议 在 Kubernetes Service 配置中，`nodePort`、`targetPort` 和 `port` 的合理配置对网络通信至关重要，以下是结合引用资料的最佳实践： #### 1. **核心概念定义**（引用[1][3][5]） - **`targetPort`**： Pod 内容器的实际监听端口，必须与容器暴露的端口一致（对应 Dockerfile 的 `EXPOSE` 或 Pod 的 `containerPort`）。 **最佳实践**： - 直接使用容器标准端口（如 Nginx 用 80，MySQL 用 3306） - 避免随意修改，保持与容器设计一致 - **`port`**： Service 在集群内部的访问端口，仅用于集群内服务间通信（引用[
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值