從Kubernetes Pod連接到VM

Question

我們目前正在GCP上運行Kubernetes集群。 群集在默認網絡10.154.0.0/16中具有多個Pod。 現在，我們在同一網絡中創建了一個新的VM，並為其分配了一個靜態內部IP 10.154.0.4。

現在，我們正在嘗試從Pod連接到新創建的VM，但是我們只能對其進行ping操作。 我們在其上安裝了一個基本的Web服務器，該服務器只能訪問內部網絡，但不起作用。

是否可以在不創建任何其他防火牆規則的情況下訪問內部網絡上的所有端口？

日志：

從Pod ping VM（工作）

root@censored-6d9f888f75-pncs4:/var/www# ping 10.154.0.4 PING 10.154.0.4 (10.154.0.4): 56 data bytes 64 bytes from 10.154.0.4: icmp_seq=0 ttl=63 time=1.636 ms

訪問VM的Web服務器（不起作用） root@censored-6d9f888f75-pncs4:/var/www# curl 10.154.0.4 ^C

Answer 1

不知道這是不是正在發生的事情，但是如果您將ssh放入節點並運行sudo iptables-save ，則有一條有趣的規則...

-A POSTROUTING ! -d 10.0.0.0/8 -m comment --comment "kubenet: SNAT for outbound traffic from cluster" -m addrtype ! --dst-type LOCAL -j MASQUERADE

...表示對於10.0.0.0/8范圍內的目標IP地址，請勿偽裝。 如果您的Pod在172.或192.中運行，則這是它們發出請求的IP地址，如果防火牆規則和路由未正確配置，則可以將其丟棄。