网络端口矩阵清单
飞书 Wiki 同步子文档，revision 2。
网络端口矩阵清单
目的：明确需要开通的网络端口，比如内网端口和外网端口
内容大纲：
• 网络拓扑示意图（各服务间的访问关系）（如有则添加）
• 端口清单表格（含源IP/目的IP/协议/端口/用途/是否必须）
| 端口 | 协议 | 方向 | 用途 | 验收要求 |
|---|---|---|---|---|
| 6443 | TCP | agent → server | Kubernetes API / K3s agent 加入 | server 监听，所有 agent 可达。 |
| 10250 | TCP | 节点双向 | kubelet API | 节点间放通，不对业务网开放。 |
| 8472 | UDP | 节点双向 | flannel VXLAN | 所有 K3s 节点互通，不对公网开放。 |
| 30500 | TCP | 安装机 / 节点 → Registry 节点 | 站点离线镜像 Registry | 镜像推送和所有节点拉取均可达。 |
| 80 / 443 | TCP | 客户端 → 入口节点 | 平台 HTTP / HTTPS | 使用 LoadBalancer / ServiceLB 时，所有可能承载入口的节点不得被其他进程占用。 |
| 1883 / 8883 | TCP | 设备 → 入口节点 | MQTT / MQTTS | 按 Site Contract 决定是否开放；禁止匿名认证。 |
• 内外网访问策略说明
- 数据库、缓存、对象存储、消息 Dashboard 及各后端服务端口一律绑定内网 / 本机，不对公网开放
- 生产环境建议由防火墙 / 安全组统一收口
• 负载均衡/反向代理配置建议 （如有则添加）