Kube-VIP中TCP/UDP同端口服务配置问题解析

问题背景

在使用Kube-VIP作为Kubernetes负载均衡器时，用户遇到了一个关于TCP和UDP协议在同一端口上共存的问题。具体场景是在部署Pi-hole DNS服务时，需要同时开放53端口的TCP和UDP协议，但发现服务无法正常工作。

技术分析

混合协议服务特性

Kubernetes从1.20版本开始支持LoadBalancer类型的服务同时使用TCP和UDP协议，并在1.29版本中该特性达到稳定状态。这种功能对于DNS服务等需要同时支持两种协议的应用场景尤为重要。

问题现象

用户配置了一个LoadBalancer服务，同时开放53端口的TCP和UDP协议，但发现：

1. 服务状态显示正常，IP地址正确分配
2. 实际测试时TCP和UDP连接均失败
3. iptables规则显示"has no local endpoints"的DROP规则

根本原因

经过排查，发现问题出在externalTrafficPolicy: Local的配置上。这种配置要求流量必须被路由到运行Pod的节点，而Kube-VIP需要额外的选举机制来正确处理这种流量路由。

解决方案

方案一：使用Cluster外部流量策略

将服务配置中的externalTrafficPolicy从Local改为Cluster：

externalTrafficPolicy: Cluster

这种方案简单有效，允许流量被路由到集群中的任何节点，然后由kube-proxy转发到实际运行Pod的节点。

方案二：启用服务选举功能（推荐）

如果必须使用Local外部流量策略（如需要保留客户端源IP），可以通过启用Kube-VIP的服务选举功能来解决：

1. 在Kube-VIP配置中添加服务选举参数：

- name: enableServicesElection
  value: "true"

2. 保持externalTrafficPolicy: Local不变

这种方案能确保流量被正确路由到运行Pod的节点，同时保留客户端源IP信息。

最佳实践建议

1. 对于DNS等需要同时使用TCP和UDP协议的服务，确保Kubernetes版本在1.20以上
2. 优先考虑使用Cluster外部流量策略，除非有特殊需求
3. 如需使用Local策略，务必启用Kube-VIP的服务选举功能
4. 定期检查服务端点状态(kubectl get endpoints)，确保Pod正常运行
5. 监控iptables规则，验证流量是否被正确处理

总结

Kube-VIP作为Kubernetes的负载均衡解决方案，在处理混合协议服务时表现良好，但需要注意外部流量策略的配置。通过正确理解和使用externalTrafficPolicy及服务选举功能，可以确保TCP/UDP同端口服务的稳定运行。对于类似Pi-hole这样的DNS服务部署，上述解决方案已经过实践验证，能够满足生产环境的需求。