先记住这个答案
ClusterIP 仅在集群内部虚拟 IP 上暴露，NodePort 在每台节点开放固定端口，LoadBalancer 则通过云厂商负载均衡器将外部流量引到 NodePort 或直接到 Pod。三者转发路径逐级扩展，ClusterIP 是基础，NodePort 在 ClusterIP 上增加节点端口映射，LoadBalancer 又在 NodePort 上接云负载均衡。
- ClusterIP 仅集群内访问，无外部入口
- NodePort 暴露节点端口，可从节点外访问
- LoadBalancer 依赖云负载均衡器，外部统一入口
转发路径的逐级叠加机制
ClusterIP 类型的 Service 会从集群预留 IP 池中分配一个虚拟 IP，kube-proxy 通过 iptables 或 IPVS 规则把发往该 IP 的流量转发到后端 Pod。这个 IP 只有集群内节点和 Pod 可路由，外部网络无法直接访问。ClusterIP 是默认类型，也是其他类型的基础。
NodePort 类型在 ClusterIP 基础上，为每个端口分配一个 30000-32767 范围内的节点端口（可配置）。kube-proxy 在每个节点上监听该端口，将收到的流量经过 ClusterIP 虚拟 IP 再转发到后端 Pod。因此 NodePort 使得外部可以通过任意节点的 IP 加节点端口访问服务，但请求会经过节点间的额外一跳。
LoadBalancer 类型通常自动创建 NodePort，并通知云厂商（如 AWS ELB、GCP LB）创建一个外部负载均衡器，其流量入口指向所有节点的 NodePort。云负载均衡器做健康检查并将流量分发到节点，之后按 NodePort 路径转发。也有实现直接路由到 Pod（需配合 externalTrafficPolicy 和 CNI），但默认仍走 NodePort。
公网 Web 服务的类型选择场景
假设集群部署在 AWS，需要向公网提供 Web 服务。如果只用 ClusterIP，外部无法访问；若用 NodePort，需要在安全组开所有节点的端口，且客户端要知道节点 IP，流量经过节点可能丢失源 IP，且没有统一外部入口，虽然 kube-proxy 会自动负载均衡，但缺少 LoadBalancer 的健康检查和统一入口。选用 LoadBalancer 后，AWS 自动创建 ELB，提供稳定公网入口并做健康检查，后端指向各节点 NodePort。
更优配置是设 externalTrafficPolicy: Cluster（默认）或 Local。若要求保留客户端源 IP 且避免二次转发，可设 Local，云负载均衡器将流量直接发到有 Pod 的节点，但需注意 Pod 分布不均可能导致负载倾斜。实际选择依据：需要外部统一入口且依赖云能力时用 LoadBalancer；仅调试或小范围访问可用 NodePort；纯集群内服务用 ClusterIP。
类型叠加与模式失效的边界
NodePort 的可用端口范围是 30000-32767，若集群规模大或 Service 多，端口数量可能受限。且 kube-proxy 通过 iptables 时，规则数量随 Service 和节点数增长，性能下降。LoadBalancer 依赖云厂商 controller，如果集群没有部署或使用裸金属，LoadBalancer 类型会一直处于 Pending。
LoadBalancer 默认也分配 NodePort，这可能引入额外端口占用。可设置 spec.allocateLoadBalancerNodePorts: false 让云负载均衡直接走 Pod，但并非所有云厂商支持。判断时应同时核对云 provider 文档和 Service 事件，确保负载均衡器创建成功。
容易答错的地方
- 以为 NodePort 是最高效的外部访问方式
- NodePort 在每个节点上暴露端口，外部需要跨节点访问，可能经过多跳且无法做健康检查。若提供公网服务，LoadBalancer 更合适，它提供统一入口和自动故障转移。
- 认为 LoadBalancer 一定比 NodePort 开销大
- LoadBalancer 默认增加云资源费用，但可用 externalTrafficPolicy: Local 避免二次转发，且云负载均衡自身有健康检查。实际开销需对比网络路径和运维成本，不能一概而论。
面试官还会怎么问？
ClusterIP 一定不可被外部访问吗？
通常不可，但可通过 kubectl port-forward 临时映射到本地，或借助 Ingress 等反向代理把外部流量引入集群内部再转发到 ClusterIP。
LoadBalancer 类型一定需要云厂商吗？
不一定，裸金属可安装 MetalLB 等实现，但需自建 controller。云厂商集成最简单，但也可用 NodePort 自行搭建外部负载均衡器。
为何 LoadBalancer 有时会保留 NodePort？
默认保留是为了兼容部分云厂商的健康检查机制。若云实现直接路由到 Pod，可设置 allocateLoadBalancerNodePorts 为 false，但需确认支持。
参考资料
示例用于理解所注明的运行环境与边界；延伸学习可结合原文中的更多案例。