kubernetes - 与 K8S 服务或其底层端点的云内部 IP 的确定性连接？

Question

我在 GKE 中有一个 Kubernetes 集群(1.3.2)，我想连接我的谷歌项目中的虚拟机和服务，该项目与集群共享相同的网络。

有没有办法让位于子网内部但不在集群本身内部的 VM 连接到服务而不命中外部 IP？

我知道您可以做很多事情来明确确定服务的 IP 和端口，例如 ENV 和 DNS ......但是 clusterIP 在集群之外是不可访问的(显然)。

有什么我想念的吗？对此的一个重要组成部分是，这意味着该服务是项目的“公共(public)”服务，因此我不知道项目中的哪些 VM 将要连接到该服务(这可能会排除 loadBalancerSourceRanges)。我知道服务实际包装的端点是我可以访问的内部 IP，但获得该 IP 的唯一好方法是通过 Kube API 或 kubectl，这两种方法都不是访问我的服务的理想方式。

Answer 1

查看我更彻底的答案 here ，但最常见的解决方案是在 GCP 项目中创建堡垒路线。

在最简单的形式中，您可以创建单个 GCE 路由，以将集群服务 IP 范围内的所有带有 dest_ip 的流量引导到您的一个 GKE 节点上。如果 SPOF 吓到您，您可以创建多个指向不同节点的路由，并且流量将在它们之间循环。

如果管理开销不是您以后想要做的事情，您可以在 GKE 集群中编写一个简单的 Controller 来监视 Nodes API 端点，并确保您在任何给定的情况下都有到至少 N 个节点的实时堡垒路由时间。

GCP internal load balancing刚刚发布为 alpha，因此将来可以使用它来实现 GCP 上的 kube-proxy，这将消除对堡垒路由处理内部服务的需要。