GKE 中出站连接的稳定公共 IP 或 IP 范围

Question

我使用 Google Kubernetes Engine 按需运行 Pod。每个 pod 都使用 nodeport 服务公开暴露在互联网上。

我正在 GKE 中寻找一种方法来获取出站连接的单个 IP 或 IP 范围，将它们提供给第三方 API 以将它们列入白名单。

当节点自动缩放或升级它们时，GKE 节点 IP 是不可管理的。我需要一种方法来保持一致的出站 IP。

我曾尝试使用一个简单的 NAT 网关到 Kubernetes 节点（使用这里的示例），虽然这将出站连接路由到 NAT 网关，但它会中断到 Pod（Nodeport 服务）的入站流量，因为它们在NAT 网关。

• 是否有谷歌云区域的默认 IP 范围，我可以将其提供给第三方以列入白名单（或）

• 如果 GKE 提供了一种从静态 IP（或）预先保留的列表中选择节点外部 IP 的方法

• 有没有其他方法可以实现拥有单个静态 IP 或代表来自 Pod 的出站流量的 IP 范围

我发现像类似的问题这样，但使用NAT时休息，他们并没有解决我的问题，因为豆荚应该是外部连接。

Answer 1

Google Cloud 现在提供托管 NAT 网关服务 - Cloud NAT。

该网关可以与 GKE 集群一起使用，该集群为其中的所有 pod 提供稳定的公共出口 IP，从而使它们能够被第三方服务提供商列入白名单。

此处提供了将 Cloud NAT 与 GKE 结合使用的示例实现 - https://cloud.google.com/nat/docs/gke-example