kube-proxy服务进程可看作service的透明代理和负载均衡器。核心功能是将到service的访问请求转发到pod实例上。
service的clusterIP与NodePort等是kube-proxy服务通过Iptables的NAT转换实现的，kube-proxy在运行时动态创建与service相关的Iptables规则，这些规则实现clusterIP及NodePort的请求流量重定向到kube-proxy进程上对应服务的代理端口。
两种访问服务的方法：
- ClusterIP + TargetPort
- 节点IP + NodePort
访问service的请求，都被节点的Iptables规则重定向到kube-proxy监听service服务代理端口。
kube-proxy通过查询和监听API Server中service与endpoints的变化，为每个service建立“服务代理对象”，并自动同步。服务代理对象包括用于监听此服务请求的socketServer，socketServer的端口是随机选择本地空闲端口。kube-proxy也创建负载均衡器LB，LB上保存service到对应的后端endpoints列表的动态转发路由表，路由选择是由负载均衡算法及service的session会话保持（sessionAffinity）共同决定。
kube-proxy
|---- Iptables NAT
|
|---- 服务代理对象
|-------- socketServer
|---- 负载均衡器
|-------- service到endpoints的转发地址列表
|
kube-proxy在启动时和监听到service或endpoint的变化后，都会在本机Iptables的NAT表中添加4条规则链。
1 KUBE-PORTALS-CONTAINER 从容器中通过service的clusterIp和端口号访问service。
2 KUBE-PORTALS-HOST 从主机中通过service的clusterIp和端口号访问service。
3 KUBE-NODEPORT-CONTAINER 从容器中通过service的NodePort端口号访问service。
4 KUBE-NODEPORT-HOST 从主机中通过service的NodePort端口号访问service。
此外，kube-proxy在Iptables中为每个service创建由clusterIp + Service端口到kube-proxy所在主机IP + service代理服务监听的端口转发规则。
转发规则的包匹配规则部分（CRETIRIA）如下：
-m comment --commentPROTOCOL -m
DESTPORT -d
SERVICESTRING 为注释的内容。
-pPROTOCOL --dport
DESTIP 表示协议为
DESTIP 和
PROTOCOL可以为TCP或UDP，
DESTIP为service的clusterIp和targetPort。
转发规则的跳转部分（-j部分）
如果请求来自本地容器，且service代理服务监听的是所有的接口（例如IPv4的地址是0.0.0.0），跳转部分如下：
-j REDIRSCT --to-portsproxyPort端口(service代理服务监听的端口)。
如果请求来自其他容器，则跳转部分为 -j DNAT --to-destination proxyIP:proxyPort 实现数据包转发，数据包的目的地址变为proxyIP:proxyPort
如果service的类型为NodePort，kube-proxy在Iptables中除了添加上面的规则，还会为service创建由NodePort端口到kube-proxy所在主机IP+service代理服务监听的端口的转发规则。转发规则的包匹配规则部分如下：
-m comment --comment PROTOCOL -m
NODEPORT 用于匹配目的端口为$NODEPORT的包
