通常情况下k8s集群中pod使用的是单独划分的一个虚拟子网，处于这个子网中的pod通过nat地址转换的方式访问集群外部。

如果要在集群外部访问pod,通常可以使用三种方式：NodePort,HostPort和LoadBalancer。其中NodePort最为常用，在每个kube-proxy节点上开启代理端口以供外部访问。除此之外有没有别的办法可以在集群直接访问到Pod呢？答案是有的。

假设现在有一套已经搭建好的k8s集群，使用Calico做为cni组件，查看每个节点上的路由表

route -n | grep tunl0

可以看到如下内容

10.233.119.0    10.21.21.74    255.255.255.192 UG    0      0        0 tunl0

10.233.55.64    10.21.21.76    255.255.255.192 UG    0      0        0 tunl0

10.233.183.64  10.21.21.75    255.255.255.192 UG    0      0        0 tunl0

这是calico创建的tunnel,用于实现集群间容器的互相访问，通过这些可以得知每个节点中所划分的pod网段。

我们要做的是就是把这几个路由规则加入到路由器或者客户端机器上

route add -net 10.233.55.64 netmask 255.255.255.192 gw 10.21.21.76

route add -net 10.233.119.0 netmask 255.255.255.192 gw 10.21.21.74

route add -net 10.233.183.64 netmask 255.255.255.192 gw 10.21.21.75

之后我们在k8s中起一个容器做测试，如

---
apiVersion: extensions/v1beta1
kind: Deployment
metadata:
  name: nginx
spec:
  template:
    metadata:
      labels:
        app: nginx
    spec:
      containers:
        - name: nginx
          image: nginx:latest
          imagePullPolicy: IfNotPresent
          resources:
            requests:
              cpu: 100m
              memory: 100Mi
          ports:
            - containerPort: 80
          volumeMounts:
            - name: timezone
              mountPath: /etc/localtime
      volumes:
        - name: timezone
          hostPath:
            path: /usr/share/zoneinfo/Asia/Shanghai

再查看已启动的pod

kubectl get pod -o wide

结果如下：

NAME      READY    STATUS    RESTARTS  AGE      IP            NODE

centos    1/1      Running  0          2d        10.233.55.69  10.21.21.76

我们在客户端机器上直接访问该pod

ping 10.233.55.69

成功响应

PING 10.233.55.69 (10.233.55.69) 56(84) bytes of data.

64 bytes from 10.233.55.69: icmp_seq=1 ttl=63 time=0.442 ms

64 bytes from 10.233.55.69: icmp_seq=2 ttl=63 time=0.328 ms