kube-proxy
Компонент на каждом узле, реализующий абстракцию Service в Kubernetes: обслуживает виртуальный ClusterIP — пакеты на ClusterIP направляются на случайный под-бэкенд правилами iptables или IPVS.
Три режима: userspace (устарел), iptables (по умолчанию, просто), ipvs (на уровне ядра, быстрее при 100+ сервисах). Cilium и Calico умеют заменить kube-proxy на eBPF — выше производительность и нет разрастания правил iptables. При каждом изменении Service/Endpoint kube-proxy пересоздаёт правила iptables, поэтому при 10 тысячах сервисов перезагрузка занимает секунды (всплеск задержек). kube-proxy — «всего лишь» переписчик пакетов: балансировка случайная, а для более умных политик нужен service mesh.