GKE 節點池標簽和防火牆規則

Question

我有一個 GCP 項目：

• 專有網絡：
  • su.net0 : cidr 10.1.0.0/24
  • su.net1 : cidr 10.2.0.0/24
• su.net0和 su.net 中的 GKE 集群：
  • 豆莢 cidr： 172.16.0.0/18
  • 服務 cidr： 172.16.64.0/20
  • 節點池標簽： gke-pool
• su.net1中的 VM 實例和 tags agent

我想創建一個允許 GKE 集群中的 pod 連接到 VM 的防火牆規則，因此我創建了以下防火牆規則：

• network ： VPC網絡
• direction ： INGRESS
• 來源標簽： gke-pool
• 目標標簽： agent
• 端口：80/TCP

但它不起作用。

相反，如果我將源范圍設置為 pods cidr ( 172.16.0.0/18 )，它就可以工作。

有什么建議么？

Answer 1

那是因為您使用的是VPC Native Cluster 。 VPC 原生集群是默認模式，它們使 Pod IP 在 VPC 中可見。 這意味着當 Pod 與 VPC 上的目標通信時，Pod 的 IP 不是節點 IP 后面的 Source Nated。

你有兩個選擇：

• 如您所述，在防火牆規則中使用 Pod CIDR。
• 使用IP masq 代理將 Pod IP 隱藏在節點 IP 后面。

Answer 2

那么，如果我們反轉方向邏輯，為什么 EGRESS 規則會起作用呢？ 例如

• 網絡： VPC網絡
• 方向： EGRESS
• 目標范圍： 10.2.0.0/24 (VM su.net)
• 目標標簽： gke-pool
• 端口：80/TCP

EGRESS 流量的處理方式是否與 INGRESS 不同？