K8s NodePort 端口为什么 netstat 查不到？

一、现象

在 K8s 中创建了 type: NodePort 的 Service，对外暴露 30000 端口，但在节点上执行：

netstat -ntlp | grep 30000
ss -ntlp | grep 30000

没有任何 LISTEN 监听记录 。 直觉上会误以为 Service 没生效、kube-proxy 异常，但实际访问 节点IP:30000 却能正常转发到后端 Pod。

二、根本原因

这不是故障，是 K8s Service 的正常实现机制：

1. NodePort 不是由某个用户态进程（比如 nginx、kube-proxy 自身）去 bind() 监听 30000 端口；
2. 它是由 kube-proxy 控制内核网络模块（IPVS 或 iptables）直接在四层做数据包转发；
3. netstat、ss 只能读取用户态进程创建的 socket 监听记录，内核里的转发规则不在这个列表里，所以查不到。

补充：无论 kube-proxy 是 iptables 模式还是 IPVS 模式，netstat 都看不到 NodePort 端口，只是内核实现转发的方式不同。

三、正确验证 30000 是否生效

1. 先确认 Service 与后端

# 确认 Service 类型和端口
kubectl get svc 你的服务名 -n 命名空间

# 确认后端 Pod 正常（Endpoints 不为空）
kubectl get endpoints 你的服务名 -n 命名空间

Endpoints 为空时，30000 就算有规则也转发不通，这是最高频故障点。

2. 查内核转发规则（IPVS 模式）

你的集群是 IPVS 模式，用专属工具 ipvsadm 查看：

# 安装工具
yum install -y ipvsadm

# 过滤查看 30000 虚拟服务及后端 Pod
ipvsadm -Ln | grep -A2 30000

正常输出示例：

TCP  192.168.20.2:30000 rr
  -> 10.233.84.148:80             Masq    1      2          1

能看到虚拟服务和后端 RealServer（Pod IP），说明规则已同步、NodePort 生效。

3. 连通性测试

❌ 错误方式（IPVS 模式下回环不生效）：

curl 127.0.0.1:30000

✅ 正确方式：

curl 节点真实IP:30000
# 例如
curl 192.168.20.2:30000

四、两个高频误区

1. 用 netstat 判断 NodePort 有没有启动：方向完全错误，IPVS/iptables 模式下本来就看不到；
2. 用 127.0.0.1 测试 NodePort：IPVS 默认只绑定物理网卡 IP，不会绑定回环地址，访问不通是正常现象。

五、一句话总结

30000 端口 netstat 查不到，是因为它是内核层的转发规则 ，不是用户态进程的监听 socket；验证 NodePort 看 ipvsadm（IPVS 模式）、看 Endpoints、用节点真实 IP 做 curl 测试即可。