networking - 如何将 Cloud Composer Airflow DAG 连接到 VPN

Question

如何允许 Cloud Composer Airflow DAG 通过 VPN 网关连接到 REST API？集群连接到相应的 VPC。
kube-proxy 能够访问 API，但容器不能。
我已通过 SSH 连接到 kube-proxy 和容器并尝试了跟踪路由。容器的 traceroute 以 kube-proxy 结束。 kube-proxy 在到达目的地之前有 4 跳。
我已经从 kube-proxy 转储了 iptables，它们没有指定任何关于使用容器对 VPC 子网进行 NAT 的说明。
VPC 子网也没有出现在容器中，这是设计使然。
一些阅读 Material :
https://www.stackrox.com/post/2020/01/kubernetes-networking-demystified/
EDIT1:更多信息:
假设 VPN 将 VPC 连接到远程 10.200.0.0 网络。
VPC 有多个子网。主要范围是例如10.10.0.0/20。对于每个 Kubernetes 集群，我们还有两个子网，一个用于每个 pod (10.16.0.0/14)，另一个用于服务 (10.20.0.0/20)。网关是 10.10.0.1。
每个 pod 都有自己的范围，其中 pod_1 是 10.16.0.0/14，pod_2 是 10.16.1.0/14，pod_3 10.16.3.0/14 等等。
其中一个 kube-proxy 有多个网络适配器。它位于具有 eth0 的 10.10.0.0 网络中，并且有一个到 10.16.0.0 的 cbr0 网桥。通过桥接的 kube-proxy，Airflow 的工作人员正在连接到网络。一名 worker 10.16.0.1 只有一个网络适配器。
kube-proxy 可以到达 10.200.0.0 网络。 Airflow worker 不能。
我们如何让 worker 访问 10.200.0.0 网络？我们需要更改kube-proxy的iptables吗？

Answer 1

一种可能的解决方案是将包从 kube 虚拟接口(interface)转发到节点的真实接口(interface)。例如。将以下规则添加到 ip 表:

iptables -A FORWARD -i cbr0 -o eth0 -d 10.200.0.0/25 -j ACCEPT
iptables -A FORWARD -i eth0 -o cbr0 -s 10.200.0.0/25 -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE