为什么 pod 无法连接到 on-premise.network

Question

我正在 GCP 上设置一个 Kube.netes 引擎（集群版本：“1.11”），使用部署在“default”.network 上的 Kubeflow 安装脚本，我设置了一个 Google VPN 服务到 on-premise.network（10.198. 96.0/20)

我尝试从虚拟机或 Kube.netes 节点从 GCP 连接到 on-premise.network 一切都很好但是从 Pod 无法连接到 op-premise.network

• 从 GKE 节点或“默认”.network (10.140.0.0/20) 上的其他虚拟机，它可以 ping 或 curl 到本地主机
• 从 GKE Pod 无法 ping 或 curl 到本地主机

我正在查找。创建 Pod 的网络配置是 10.24.0.0/14，我认为 Pod 的 CIDR 不与 GCP (10.140.0.0/20) 和 On-primise.network (10.198. 96.0/20)

为什么 Pod 无法连接？

Answer 1

在搜寻了有关IP MASQUERADE的信息后，我尝试从这篇文章中尝试，它的工作原理！！！

Answer 2

显然，您的Pod在出口流量方面是隔离的。

如果要允许来自命名空间中所有Pod的所有流量（即使添加了将某些Pod视为“隔离”的策略），则可以创建一个策略来明确允许该命名空间中的所有出口流量。

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-all
spec:
  podSelector: {}
  egress:
  - {}
  policyTypes:
  - Egress

有关如何管理网络策略的更多详细信息，请单击此处

Answer 3

检查您的 ip-masquerade-agent 和配置，请参阅https://cloud.google.com/kube.netes-engine/docs/concepts/ip-masquerade-agent?hl=en