如何允許 Gke 內部 Pod 通過 vpn 與另一個 VPC 中的內部 ip 通信

Question

我有一個帶有 nat 的 Gke 集群（私有），我需要將其與舊 VPC 聯網（在另一個 gcp 項目中）。

我在項目 B（新）和項目 A（舊）之間構建了一個經典 VPN：所有 VM 可以一起討論（ nc -vz是我的朋友）

項目 B 內的 GKE 集群可以與項目 B 上的所有虛擬機的內部 IP 討論。我需要在這個 GKE 中有一些 pod 能夠與項目 A 內 VPN 上的私有 IP 討論。

我們嘗試這個https://cloud.google.com/kubernetes-engine/docs/how-to/ip-masquerade-agent#deploy-ip-masq-agent-deamonset但它仍然無法正常工作。

如果你有適合我的想法，我會給你買啤酒；）（地點：勒阿弗爾、里爾或巴黎）

基礎設施

多謝

克里斯

Answer 1

GCP 中有一個名為“共享 VPC”的選項，總而言之，它允許多個項目在一個組織內使用通用的虛擬私有雲互連。 正如 GCP 文檔中指定的那樣，組織策略適用於組織中的所有項目，因此您只需執行一次這些步驟即可限制共享 VPC 的留置權刪除組織策略。 然后，您需要按照以下步驟配置共享 VPC：

- 轉到 Google Cloud Console 中的共享 VPC 頁面。

- 以共享 VPC 管理員身份登錄。

- 從項目選擇器中選擇要啟用為共享 VPC 宿主項目的項目。

-單擊設置共享 VPC。

- 在下一頁上，單擊啟用宿主項目下的保存並繼續。

- 在 Select 子網下，執行以下操作之一：

a) 如果您需要與后續步驟中指定的服務項目和服務項目管理員共享宿主項目的 VPC 網絡中的所有當前和未來子網，請單擊共享所有子網（項目級權限）。

b) 如果您需要選擇性地與服務項目和服務項目管理員共享宿主項目的 VPC 網絡中的子網，請單擊單個子網（子網級權限）。 然后，select 子網分享。

- 單擊繼續。

- 顯示下一個屏幕。

- 在項目名稱中，指定要附加到宿主項目的服務項目。 請注意，附加服務項目不會定義任何服務項目管理員； 這是在下一步中完成的。

- 在 Select 用戶按角色部分中，添加服務項目管理員。 這些用戶將被授予用於共享子網的 IAM 角色 compute.networkUser。 只有服務項目管理員可以在共享 VPC 宿主項目的子網中創建資源。

- 單擊保存。

在以下 URL 中，您將找到一些 GCP 的官方信息，例如共享 VPC 概述共享 VPC 概述以及設置新共享 VPC 設置共享 VPC的所有詳細過程。