[K8s] Service: ClusterIP / NodePort / LoadBalancer / ExternalName

Kubernetes Service, K8s Service, ClusterIP, NodePort, LoadBalancer, ExternalName, Headless Service, kube-proxy, iptables, IPVS

정의

Service = Pod 집합에 안정 가상 IP + DNS 부여. Pod 가 죽고 다시 만들어져도 Service IP 는 그대로.

4가지 타입

flowchart TB
    Q{Service 종류}
    Q --> CIP["ClusterIP<br/>(기본)<br/>클러스터 안에서만"]
    Q --> NP[NodePort<br/>각 노드의 포트 노출]
    Q --> LB[LoadBalancer<br/>클라우드 LB 자동 생성]
    Q --> EN[ExternalName<br/>외부 DNS 별칭]

1. ClusterIP (기본)

apiVersion: v1
kind: Service
metadata:
  name: api
spec:
  type: ClusterIP
  selector: { app: api }
  ports:
    - port: 80
      targetPort: 8080

• 클러스터 안에서만 접근.
• 다른 pod 가 http://api:80 로 호출.
• DNS: <service>.<namespace>.svc.cluster.local.

2. NodePort

spec:
  type: NodePort
  ports:
    - port: 80
      targetPort: 8080
      nodePort: 30080   # 옵션

• 모든 노드의 30000-32767 포트 에서 접근.
• http://<any-node>:30080.
• 보통 개발용. 프로덕션은 LoadBalancer 또는 Ingress.

3. LoadBalancer

spec:
  type: LoadBalancer
  selector: { app: api }
  ports: [{ port: 80, targetPort: 8080 }]

• 클라우드 (AWS, GCP) 가 자동으로 LB 생성 + 외부 IP.
• AWS = ALB / NLB.
• Service 당 LB 하나 → 많으면 비싸다. Ingress 가 대안.

4. ExternalName

spec:
  type: ExternalName
  externalName: api.external.com

• DNS CNAME 처럼 외부 호스트 별칭.
• 기존 외부 service 와 통합 용.

Headless Service

spec:
  clusterIP: None    # ← Headless

• Service IP 없음.
• DNS 가 모든 pod IP 직접 반환.
• StatefulSet 의 peer discovery 에 필수.

DNS 와 Service Discovery

nslookup api
→ api.default.svc.cluster.local
→ 10.96.0.42 (ClusterIP)

nslookup api-headless
→ 10.244.0.5  (pod-1)
→ 10.244.0.6  (pod-2)
→ 10.244.0.7  (pod-3)

내부 동작: kube-proxy

flowchart LR
    Client[Client pod] -->|Service IP| KP["kube-proxy<br/>(node)"]
    KP -->|iptables / IPVS rule| P1[pod 1]
    KP -->|iptables / IPVS rule| P2[pod 2]
    KP -->|iptables / IPVS rule| P3[pod 3]

모드	특징
iptables (기본)	nat 규칙. 수천 Service 까지 OK
IPVS	더 빠름, 더 큰 규모
nftables (1.31+)	iptables 대체, 더 빠름

트래픽 분배

Service → endpoints (Pod IP 목록)
kube-proxy → random pick (iptables) 또는 알고리즘 (IPVS)

L4 round-robin. 세션 sticky 가 필요하면 service.spec.sessionAffinity: ClientIP.

Service 와 Endpoints

kubectl get endpoints api
NAME   ENDPOINTS                                AGE
api    10.244.0.5:8080,10.244.0.6:8080,...      5m

• Service = 추상.
• Endpoints = 실제 pod IP.
• Pod 의 readiness 가 OK 인 것만 endpoint 에 포함.

EndpointSlice (1.21+)

큰 클러스터에서 Endpoints 의 확장. 1000+ pod 의 Service 에 효율적.

흔한 함정

Multi-Port Service

한 Service 에서 여러 포트 노출 시 이름 필수.

spec:
  type: ClusterIP
  selector: { app: api }
  ports:
    - name: http
      port: 80
      targetPort: 8080
    - name: grpc
      port: 9090
      targetPort: 9090
    - name: metrics
      port: 9100
      targetPort: 9100

Port Naming 컨벤션

Ingress, Istio, Prometheus 가 이름으로 프로토콜 자동 감지.

Port 이름	프로토콜
http	HTTP/1.1
https	HTTPS/TLS
grpc	gRPC
http2	HTTP/2 평문
metrics	Prometheus scrape

Session Affinity 상세

spec:
  sessionAffinity: ClientIP
  sessionAffinityConfig:
    clientIP:
      timeoutSeconds: 3600

같은 ClientIP 의 요청을 동일 Pod 으로 고정. None (기본) = 무작위. L7 쿠키 sticky 는 Ingress 레벨.

External Traffic Policy

외부 트래픽 (NodePort / LoadBalancer) 의 라우팅 전략.

spec:
  type: LoadBalancer
  externalTrafficPolicy: Local

Policy	동작	트레이드오프
Cluster	모든 노드 경유, SNAT	균등 분배, 클라이언트 IP 유실
Local	같은 노드 Pod 만	소스 IP 보존, Pod 없는 노드에서 드롭

Service + NetworkPolicy 연계

flowchart LR
    FE["frontend Pod"] -->|"port 80"| SVC["api Service"]
    SVC --> API["api Pod"]
    NP["NetworkPolicy"] -.->|"허용 제어"| API

NetworkPolicy 는 Service IP 가 아니라 최종 Pod IP 에 적용. Service 는 변환 중간점.

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: api-allow-frontend
spec:
  podSelector:
    matchLabels:
      app: api
  ingress:
    - from:
        - podSelector:
            matchLabels:
              app: frontend
      ports:
        - port: 8080

Service vs Ingress 비교

flowchart TB
    Ext["외부 트래픽"]
    Ext -->|"LoadBalancer (L4)"| SVC["Service (LB)"]
    Ext -->|"HTTP (L7)"| ING["Ingress Controller"]
    ING -->|"host/path 라우팅"| S1["Service A"]
    ING --> S2["Service B"]
    SVC --> P1["Pod"]

항목	Service LoadBalancer	Ingress
레이어	L4	L7
LB 개수	Service 당 1개	1개로 N 서비스
비용	높음	낮음
기능	포트 포워딩	호스트/경로 라우팅, TLS, 재작성

트러블슈팅

# Endpoint 확인 (0 이면 selector 불일치)
kubectl get endpoints <svc-name>

# Pod label 확인
kubectl get pods --show-labels -l app=<name>

# Service 상세 (Selector, Port, Endpoints 포함)
kubectl describe service <svc-name>

# DNS 조회 (파드 내부에서)
kubectl exec -it <pod> -- nslookup <svc>.<ns>.svc.cluster.local

# ClusterIP 직접 접근 테스트
kubectl exec -it <pod> -- curl http://<cluster-ip>:<port>

관련 위키

• k8s-ingress
• k8s-pod
• k8s-statefulset
• k8s-network-policy
• k8s-service-mesh
• Load Balancer
• CORS (Ingress 가 CORS 헤더 추가)