kubectl expose 无法满足需求，因为它仅支持单端口单协议，不接受重复 --port 或逗号分隔的 --protocol，也无法在一次调用中定义多端口或多协议；必须手写 Service YAML，在 spec.ports[] 中逐条声明 TCP/UDP 端口。
直接暴露 Go 服务的多个 TCP/UDP 端口，不能只靠 kubectl expose —— 它不支持混用协议或批量定义多端口，必须手写 Service YAML。
为什么 kubectl expose 无法满足需求
kubectl expose 只能为单个资源（如 deployment）生成一个 Service，且每次调用仅支持一个 --port 和一个 --protocol。它不接受数组式端口列表，也不允许在同一个 Service 中同时声明 TCP 和 UDP 端口。
常见错误现象：
- 执行
kubectl expose deployment my-go-app --port=8080 --port=9000→ 报错：unknown flag: --port（重复 flag 被拒绝） - 尝试
--protocol=TCP,UDP→ 解析失败，protocol字段只接受单值 - 用两次
kubectl expose分别暴露 TCP/UDP → 会创建两个独立 Service，但它们无法共享同一组 Pod 的 selector（除非手动对齐），且外部访问需记两个 ClusterIP 或两个 NodePort
Service YAML 中正确声明多协议多端口
必须使用原生 Service 资源定义，在 spec.ports[] 数组中逐条列出每个端口，并显式指定 protocol。Go 应用容器内需已监听对应端口（如 :8080, :9000, :5353）。
示例（暴露 2 个 TCP + 1 个 UDP）：
apiVersion: v1
kind: Service
metadata:
name: go-multiport-svc
spec:
selector:
app: go-app
ports:
- name: http
port: 80
targetPort: 8080
protocol: TCP
- name: admin
port: 9090
targetPort: 9090
protocol: TCP
- name: dns-udp
port: 53
targetPort: 5353
protocol: UDP
type: ClusterIP # 或 NodePort / LoadBalancer
关键点：
- 每个
port条目必须有唯一name（尤其当混合协议时，Kubernetes 要求命名区分） -
targetPort可以是数字或容器内ports[].name（需与容器containerPort的name一致） - 若用
NodePort类型，TCP 和 UDP 的nodePort值必须分别指定，且各自独立占用端口范围（例如nodePort: 30080和nodePort: 30053） - UDP 端口不会出现在
kubectl get svc的 AGE 列旁显示“TCP”，而是明确标为 “UDP”
Ingress-Nginx 暴露非 HTTP/HTTPS 端口（如 TCP/UDP）
Ingress 资源本身只处理七层 HTTP/HTTPS 流量；要让 ingress-nginx 代理 TCP/UDP，必须绕过 Ingress 对象，改用 ConfigMap 驱动的底层端口映射。
步骤简述：
- 确保
ingress-nginx的Service已显式暴露目标端口（如9000、53），类型为NodePort或LoadBalancer - 编辑
ingress-nginx命名空间下的tcp-servicesConfigMap，添加映射：9000: "default/go-multiport-svc:9090" - 编辑
udp-servicesConfigMap，添加映射：53: "default/go-multiport-svc:5353" - 重启
ingress-nginx-controllerPod 触发重载（或等待自动同步，取决于版本）
注意：
- ConfigMap 键是宿主机监听的端口（即外部访问用的端口），值格式为
<namespace>/<service-name>:<service-port-name-or-number> - 该机制本质是让
ingress-nginx在启动时额外监听这些端口，并做四层转发，和 Ingress 规则无关 - Proxy Protocol 支持需在映射值末尾加
:PROXY，如9000: "default/go-multiport-svc:9090:PROXY"
容易被忽略的兼容性细节
UDP 服务在某些云厂商 LB 后端（如 AWS NLB）可能默认禁用健康检查，导致服务不可达；需确认 LB 是否支持 UDP 健康探测，或临时关闭探测。
NodePort 范围默认是 30000–32767，若想用 53、80、443 这类特权端口，必须提前修改 kube-apiserver 的 --service-node-port-range 参数并重启组件——这在多数托管 K8s（EKS/GKE/AKS）中不可行，只能用 LoadBalancer 或反向代理承接。
Go 应用自身若绑定 localhost（如 http.ListenAndServe("127.0.0.1:8080", nil)），会导致容器内其他进程（如 iptables 规则）无法访问，必须改用 ":8080" 绑定所有接口。
