azure - AKS Kubenet 为您带来子网、可路由和 AGIC AKS 集成

Question

只是一个问题，在微软页面上 https://learn.microsoft.com/en-us/azure/aks/configure-kubenet#bring-your-own-subnet-and-route-table-with-kubenet它说

“对于 kubenet，路由表必须存在于您的集群子网上。AKS 支持引入您自己的现有子网和路由表。如果您的自定义子网不包含路由表，AKS 会为您创建一个路由表，并在整个集群生命周期中向其中添加规则。如果您的自定义子网在创建集群时包含路由表，AKS 会在集群操作期间确认现有路由表，并为云提供商操作相应地添加/更新规则。”

此外，对于带有 Appgateway 的 AGIC，如果它是 kubenet，您还需要将此路由表链接到应用程序网关子网 https://learn.microsoft.com/en-us/azure/application-gateway/configuration-infrastructure

“如果您将 kubenet 与 Azure Kubernetes 服务 (AKS) 和应用程序网关入口 Controller (AGIC) 一起使用，则需要一个路由表来允许从应用程序网关发送到 Pod 的流量路由到正确的节点。如果您使用 Azure CNI，则不需要这样做。”

所以这带来了一个有趣的问题，如果我的客户端想要从 AKS 子网 0.0.0.0/0 到 NVA(例如 Azure 防火墙)的默认流量怎么办，我认为这并不罕见。但是，这似乎破坏了应用程序网关子网，因为应用程序网关子网不允许默认路由到 NVA。

如何解决这个问题？也许有两个路由表，但我想知道 AKS 是否可以同时更新这两个路由表？

Answer 1

嘿，OP，这是一个棘手的问题，但 Microsoft 确实有一些相关文档。应用程序网关需要能够路由到互联网和后端集群。 (https://learn.microsoft.com/en-us/azure/architecture/example-scenario/gateway/firewall-application-gateway)我使用以下配置:

路由表#1

路线1

Name: All
Address Prefix: 0.0.0.0/0
Hop Type: Virtual Appliance
Hop IP Address: Firewall Private IP

路线2

Name: AppGw
Address Prefix: App Gateway Subnet CIDR
Next Hop Type: Virtual Appliance
Next Hop IP Address: Firewall Private IP

关联子网:AKS 群集子网

路由表#2

路线1

Name: AppGw-To-Backend-Pool
Address Prefix: Whole VNet CIDR
Hop Type: Virtual Appliance
Next Hop IP Address: Firewall Private IP

路线2

Name: Internet
Address Prefix: 0.0.0.0/0
Hop Type: Internet

关联子网 - 应用程序网关子网