svc中外部流量访问限制

1.参数

kubectl edit svc -n monitoring grafana
#参数：
externalTrafficPolicy: Cluster/Local
internalTrafficPolicy: Cluster

2.参数详解

externalTrafficPolicy 针对外部流量（如通过 LoadBalancer 或 NodePort 进入的流量），
internalTrafficPolicy 针对集群内部流量（如 Pod 访问 Service 的 ClusterIP）。

externalTrafficPolicy: Cluster

此参数控制从集群外部进入的流量如何被路由。

• 工作原理 ：当外部流量通过 LoadBalancer 或 NodePort 到达任意一个节点时，无论该节点上是否有对应的 Pod，流量都会被接收。如果接收流量的节点上没有 Pod，kube-proxy 会通过一次额外的转发（即"二次跳转"），将流量路由到集群中其他拥有健康 Pod 的节点上。
• 优点 ：
  1. 优秀的负载均衡：外部负载均衡器可以将流量分发到所有节点，Kubernetes 会确保流量最终被均匀地分配给所有后端的 Pod，避免了因 Pod 分布不均导致的部分节点过载。
  2. 高可用性：即使某些节点上没有 Pod，这些节点依然可以作为流量的入口，保证了服务的访问路径不会中断。
• 缺点 ：
  1. 源 IP 丢失 ：在跨节点转发时，为了能让响应包正确返回，kube-proxy 会执行源网络地址转换（SNAT）。这导致后端 Pod 看到的客户端源 IP 是节点的 IP，而不是真实的客户端 IP。
  2. 额外一跳：流量可能经历"客户端 -> 节点A -> 节点B -> Pod"的路径，多了一次网络跳转，会引入微小的延迟。

internalTrafficPolicy: Cluster

此参数控制从集群内部发起的流量如何被路由。

• 工作原理 ：当集群内的一个 Pod 访问 Service 的 ClusterIP 时，流量可以被路由到集群中任意一个健康的后端 Pod，无论它们在哪个节点上。
• 优点 ：
  1. 服务高可用：即使发起请求的 Pod 所在节点上没有目标服务的 Pod，请求也能被成功转发到其他节点，确保了集群内部服务调用的稳定性。
• 缺点 ：
  1. 源 IP 丢失 ：与 externalTrafficPolicy: Cluster 类似，跨节点转发时也会发生 SNAT，目标 Pod 看到的源 IP 是发起请求的 Pod 所在节点的 IP。
  2. 潜在的跨节点流量：流量可能会离开本地节点，通过网络访问其他节点上的 Pod，这会增加集群内部网络的开销和延迟。

3.参数对比与总结

特性	externalTrafficPolicy: Cluster	internalTrafficPolicy: Cluster
流量来源	集群外部（如互联网）	集群内部（如其他 Pod）
路由范围	所有节点（可能跨节点转发）	所有节点（可能跨节点转发）
源 IP 保留	否（Pod 看到的是节点 IP）	否（Pod 看到的是源 Pod 的节点 IP）
负载均衡	优秀（全局均匀分布）	优秀（全局均匀分布）
网络性能	可能有一次额外跳转	可能产生跨节点流量
适用场景	需要最佳负载均衡和高可用的对外服务	需要与集群内所有 Pod 通信的内部服务