在Kubernetes（K8s）中，kube-proxy组件使用iptables模式时，其主要原理是利用Linux内核的iptables工具动态管理节点上的网络规则，以实现服务（Service）到后端Pod之间的透明网络代理和负载均衡。以下是kube-proxy在iptables模式下工作的大致步骤：
- 监听API Server：
kube-proxy在每个集群节点上运行，并持续监听Kubernetes API服务器中的Service和Endpoints资源的变化。 - 创建NAT规则：当一个新的Service被创建或已有Service的Endpoints发生变化时，kube-proxy会根据Service的定义为其生成相应的iptables NAT规则。这些规则通常包括：
- SNAT（源地址转换）：当集群内部的Pod尝试访问一个ClusterIP类型的Service时，iptables规则将源Pod的IP地址转换为Service IP，确保请求能够到达Service对应的负载均衡器。
- DNAT（目标地址转换）：对于从外部流入集群或者集群内部流向ClusterIP的服务流量，iptables规则将目标地址（即Service ClusterIP）转换为实际后端Pod的IP地址，并转发到选定的Pod实例上。这种转换通过kube-proxy维护的随机或轮询等策略来选择具体的目标Pod。
- 维护Session亲和性（如果需要）：
根据Service配置，kube-proxy可能还会设置额外的iptables规则以保持客户端与后端Pod之间的会话亲和性，确保同一客户端的后续请求会被转发到先前处理该请求的同一个Pod上。 - 健康检查和负载均衡：
虽然kube-proxy不直接进行健康检查，但其依赖于Endpoints控制器提供的信息，仅将流量导向已标记为“健康”的Pod。此外，通过动态更新iptables规则，kube-proxy可以实现基本的负载均衡功能。
综上所述，在iptables模式下，kube-proxy通过实时调整和管理iptables规则集，实现了Kubernetes集群内部的服务发现、负载均衡以及内外部对服务的访问能力。
