如何在K3s中限制负载均衡器仅绑定内部IP

K3s作为轻量级Kubernetes发行版，默认会使用内置的ServiceLB（servicelb）作为负载均衡器解决方案。在实际部署中，出于安全考虑，我们经常需要限制负载均衡器仅绑定内部IP地址，而不暴露在公共网络上。

问题背景

当在具有公网IP的节点上部署K3s时，ServiceLB会自动将节点的公网IP添加到Service的status.loadBalancer.ingress地址列表中。这种行为可能导致服务意外暴露在公网上，带来安全隐患。

核心机制解析

ServiceLB的工作原理与传统的负载均衡器不同：

1. 它不真正"绑定"到任何IP地址
2. 通过iptables规则实现流量转发
3. 自动检测节点IP地址（优先使用外部IP）

解决方案

方法一：正确配置节点IP

最根本的解决方法是确保K3s只使用内部IP：

1. 启动K3s时仅指定--node-ip参数为内部IP
2. 不要设置--node-external-ip参数
3. 注意--bind-address仅影响API服务器，不影响负载均衡器

配置示例：

k3s server --node-ip 10.3.23.1

方法二：使用loadBalancerSourceRanges

对于需要更精细控制的场景，可以在Service定义中使用loadBalancerSourceRanges字段限制访问源IP范围：

apiVersion: v1
kind: Service
metadata:
  name: my-service
spec:
  type: LoadBalancer
  loadBalancerSourceRanges:
  - 192.168.0.0/24
  - 10.0.0.0/8

方法三：自定义Traefik配置

对于K3s内置的Traefik，可以通过HelmChartConfig自定义配置：

1. 创建HelmChartConfig资源
2. 在values中设置loadBalancerSourceRanges

示例配置：

apiVersion: helm.cattle.io/v1
kind: HelmChartConfig
metadata:
  name: traefik
  namespace: kube-system
spec:
  valuesContent: |-
    service:
      spec:
        loadBalancerSourceRanges:
        - 10.0.0.0/8

注意事项

1. 修改配置后可能需要删除并重建节点
2. 对于已存在的服务，需要更新或重建Service资源
3. 在生产环境中建议结合网络策略(NetworkPolicy)使用

通过以上方法，可以有效地控制K3s负载均衡器的IP绑定行为，确保服务仅在内网可达，提高集群安全性。理解这些机制对于正确部署和管理K3s集群至关重要。