你对 NodePort 服务的理解已经非常全面，这里我来结合权威资料为你补充整理一下细节，确保信息准确贴合最佳实践。
NodePort 工作原理与特性
1. 服务类型说明（官方文档）
type: NodePort会在 每个 Node 的 IP 上以一个静态端口（NodePort）暴露 Service，同时 Kubernetes 会为其创建对应的 ClusterIP Service。(kubernetes.io)- Kubernetes 控制面会从默认范围
30000–32767（可通过--service-node-port-range调整）中分配该端口。(kubernetes.io) - 每个节点都配置了该端口，加之 kube-proxy 设置 iptables 或 IPVS 规则，使 NodePort 接入流量被转发至 ClusterIP，再由 ClusterIP 转给后端 Pod。(kubernetes.io)
2. 流量路径示意
- 外部请求：访问
<NodeIP>:<NodePort>——> kube-proxy 在 Node 节点上接收流量 ——> 转发至 Service 的 ClusterIP ——> 最终到达目标 Pod。(cloud.ibm.com, tkng.io) - 任何节点的 NodePort 都有效，无论该 Pod 是否在该节点上运行（只是入口，不是 Pod 的承载节点）。(stackoverflow.com)
3. kube-proxy 行为细节
- kube-proxy 会监听并绑定所有分配出的 NodePort 端口，这用以确保没有其它进程占用这一“保留端口”。(ronaknathani.com)
- 如果确实被其他进程占用，iptables 中 PREROUTING 的规则仍然会把请求转给 Pod，保证 Service 访问正常。(ronaknathani.com)
4. 限制与运维提示
- NodePort 端口必须在
30000–32767范围内，超出范围则 Service 创建会失败。(kubernetes.io) - 若节点设置了防火墙，需手动打开对应 NodePort 端口（安全组/iptables），否则外部访问无法连通。
- 推荐在 Production 场景中使用 LoadBalancer 或 Ingress 代替 NodePort 进行流量管理，因为 NodePort 的端口不够直观且难以稳定对外暴露。(medium.com)
关于 --nodeport-addresses 配置
- kube-proxy 支持
--nodeport-addresses参数，允许设置只在指定 IP 地址或 CIDR 上监听 NodePort。这在节点有多个网卡或需要锁定接口时非常有用。(kubernetes.io) - 默认情况下，该参数为空（null），表示监听节点所有 IP。当设置为
"primary"时，只在 Node 对象定义的主要 IP 上监听；也可以设为 CIDR 列表，如[ "127.0.0.0/8" ]，达到限制访问源 IP 的目的。(kubernetes.io)
信息汇总表
| 方面 | 说明 |
|---|---|
| 流量入口 | <NodeIP>:<NodePort> 在所有节点均可访问 |
| 默认端口范围 | 30000–32767，可配置改变 |
| kube-proxy 操作 | 绑定端口、iptables/IPVS DNAT、监听 |
| 绑定接口 | 默认所有 IP；可用 --nodeport-addresses 精细控制 |
| 适用场景 | 快速暴露、调试环境；生产环境建议用 LoadBalancer/Ingress |
| 注意事项 | 防火墙需要放行端口；负载均衡器稳定访问更优 |