kubernetes将在Pod所在Node上针对nodePort下发DNAT规则，而在其他节点上针对nodePort下发DROP规则client

^ / \

/ / \

/ v X

node 1 node 2

^ |

| |

| v

endpoint

以下使用nginx的例子。

在svc的编排文件中增加externalTrafficPolicy后，重新创建nginx-service。kind: Service

apiVersion: v1

metadata:

name: nginx-service

spec:

type: NodePort

externalTrafficPolicy: Local

ports:

- port: 80

targetPort: 80

nodePort: 30080

selector:

component: nginx

externalTrafficPolicy的好处是，Pod内应用的确可以拿到真实的客户端地址了，但坏处是： 客户端只能使用pod所在的node的IP访问，无法使用其他node的ip访问以及使用vrrp之类的virtual IP来实现，对客户端来说会麻烦一点。

设置 service.spec.externalTrafficPolicy 的值为 Local，请求就只会被代理到本地 endpoints 而不会被转发到其它节点。这样就保留了最初的源 IP 地址。ps:如果使用ingress NodePort方式，并以DaemonSet方式安装nginx-ingress-controller,可以实现客户端从任何节点都可以访问，并可获取到客户端的真实IP