GCP：如何通过 IP 从 inte.net 访问在 gcp 中的 pod 中运行的 L2 VM (qemu)？

Question

我在 gcp 中创建了一个由 2 个节点组成的集群。 工作节点（L1 VM）启用了嵌套虚拟化。 我已经在这个 L1 VM 中创建了一个 pod。 我已经在这个 pod 中使用 qemu 启动了一个 L2 VM。 我的目标是仅通过来自外部字 (inte.net) 的 IP 地址访问此 L2 VM。 我的 VM（L2 VM）中运行着许多服务，我只需要通过 IP 访问它。

我创建了一个从节点到 L2 VM（位于 pod 内）的隧道，以获取到我的 VM 的 dhcp 地址。 但似乎 dhcp 提供和确认消息被谷歌云阻止。

我在集群中有一个公共 IP，通过它我可以访问节点的私有 IP。 很可能在云中为节点的私有 IP 配置了 NAT。我可以将节点配置为 NAT gw，以便我可以将此数据包从 inte.net 进一步推送到 L2 VM 吗？

欢迎任何其他建议！

Answer 1

我认为您正在尝试实现类似堡垒主机的功能。 然而，这是你不应该用 kube.netes 做的事情。 尽管您“可以”使用 kube.netes 实现它，但它根本就不是为它而生的。

我看到有两个生动的选择供您选择：

A. 在与集群相同的 VPC 内创建另一个虚拟机（GCE 实例）并将其设置为堡垒主机或 VPN 的端点。

B. 您可以使用身份感知代理 (IAP) 将流量隧道传输到 VPC 内的机器，如此处所述

IAP 可能是您用例的最佳解决方案。

还可以考虑使用简单的 GCE 实例而不是 kube.netes 集群。 如果您有很多工作负载对于一个节点来说太多，或者如果您需要横向扩展和横向扩展等，那么 kube.netes 集群非常有用。在我看来，您的用例比您在传统服务器世界中仍然认为的更多，而且更少关于牛与宠物。