GKE 與 Google Cloud 上的 Compute Engine 之間的專用連接

Question

• 我有一個在 GKE 集群之外需要的具有持久文件存儲的計算引擎實例。
• 我想在 Compute Engine 實例上打開一個特定的 TCP 端口，以便只有 GKE 集群中的節點可以訪問它。
• Compute Engine 實例和 GKE 集群位於同一個 GCP 項目、網絡和子網中。
• GKE 集群不是私有的，我有一個入口，將我想要暴露給互聯網的唯一服務公開。

我嘗試創建三種不起作用的防火牆規則：

• 通過 Compute Engine 實例和 K8s 節點上的共享服務帳戶。
• 通過網絡標簽 - （是的，我正在使用虛擬機實例頁面上明確指定的網絡標簽）。
• 通過 IP 地址，我使用網絡標簽作為目標和私有 IANA IP 范圍10.0.0.0/8 、 172.16.0.0/12和192.168.0.0/16作為源。

唯一有效的是最后一個選項，但使用0.0.0.0/0作為源 IP 范圍。

我查看了一些相關的問題，例如：

• Google App Engine 通過內部網絡與 Compute Engine 通信
• 我可以在私有 GCP 網絡子網中啟動 Google Container Engine (GKE) 嗎？

但我不希望將我的 GKE 集群設為私有，我嘗試使用網絡標簽創建防火牆規則但無濟於事。

我錯過了什么或者這是不可能的？

Answer 1

不知道我是怎么錯過的，相當肯定我在幾個月前嘗試過類似的東西，但肯定有其他錯誤配置。

在 GKE 集群詳情頁面，有一個 pod 地址范圍。 將防火牆源范圍設置為 GKE pod 地址范圍給了我想要的結果。