kubernetes - 1.9.6-gke.1中的GKE导出网络到GCE实例

Question

我在google kubernetes引擎上，我需要运行找到的filebeat守护程序集(https://www.elastic.co/guide/en/beats/filebeat/master/running-on-kubernetes.html)。我使用以下方法创建集群:

gcloud container clusters create test_cluster \
     --cluster-version "1.9.6-gke.1" \
     --node-version "1.9.6-gke.1" \
     --zone "us-east1-c" \
     --machine-type n1-standard-4 \
     --scopes "https://www.googleapis.com/auth/compute","https://www.googleapis.com/auth/devstorage.full_control","https://www.googleapis.com/auth/sqlservice.admin","https://www.googleapis.com/auth/log    ging.write","https://www.googleapis.com/auth/pubsub","https://www.googleapis.com/auth/servicecontrol","https://www.googleapis.com/auth/service.management.readonly","https://www.googleapis.com/auth/tra    ce.append" \
     --num-nodes "1" \
     --network "main-network" \
     --subnetwork "main-subnetwork" \
     --no-enable-cloud-monitoring \
     --no-enable-cloud-logging \
     --no-enable-legacy-authorization \
     --disk-size "50"

当我将 --cluster-version和 --node-version设置为 1.8.8-gke.0时，它可以工作，但是当我将其更改为 1.9.6-gke.1时，filebeat容器无法到达运行logstash的GCE实例。

集群和GCE实例都在同一网络上运行，并且我确定这不是Google Cloud的防火墙问题，因为如果我将 gcloud compute ssh放入GKE实例中并执行 nc -vz -w 5 10.0.0.18 5044，它可以很好地连接。

当我的集群运行 1.8.8-gke.0时，filebeat pod可以很好地连接到logstash，运行 traceroute 10.0.0.18可以表明它可以正常运行。当我使用 1.9.6-gke.1创建集群时， traceroute 10.0.0.18显示以下内容:

[root@filebeat-56wtj filebeat]# traceroute 10.0.0.18 
traceroute to 10.0.0.18 (10.0.0.18), 30 hops max, 60 byte packets
 1  gateway (10.52.0.1)  0.063 ms  0.016 ms  0.012 ms
 2  * * *
 3  * * *
 4  * * *
 5  * * *
 6  * * *

编辑:请注意，这不是特定于filebeat容器，我尝试了另一个容器，它也无法访问GCE实例。

Answer 1

如您在此处阅读的内容[1]:“从Kubernetes 1.9.x版本开始，自动防火墙规则已更改，因此Kubernetes Engine集群中的工作负载无法与位于同一网络但位于集群外部的其他Compute Engine VM进行通信。出于安全原因进行了此更改。

您可以通过在群集上设置新的防火墙规则来复制旧群集(1.8.x和更早版本)的行为。”

[1] https://cloud.google.com/kubernetes-engine/release-notes#known-issues