kubectl port-forward pod/my-pod 8080:80 — пробрасывает порт с пода на локальную машину. Трафик идёт через kubectl, шифруется через API server. Удобно для дебага — можно зайти на сервис без ingress. Работает и с сервисами: kubectl port-forward svc/my-service 8080:80. Не для прода — только для отладки. Альтернатива — kubectl proxy для доступа к API. Для постоянного доступа используй NodePort или LoadBalancer.