如何让VPC2的GKE Autopilot不通过VPC对等连接访问VPC1的Redis

更优解决方案 #

方案1：Cloud TCP Proxy 负载均衡 + VPC内部转发规则（推荐）

这是最贴合GCP托管服务生态的方案，无需自定义组件：

1. 在VPC-1中创建内部TCP转发规则：
   • 目标指向Redis实例的私有IP和端口（默认6379）
   • 分配VPC-1内未使用的私有IP作为转发规则的服务IP
2. 创建Cloud TCP Proxy Load Balancer：
   • 前端配置为仅接受VPC-2的Pod IP段（10.0.0.0/24）的流量
   • 后端关联VPC-1中创建的内部转发规则
3. 验证Redis授权：确认VPC-1已在Redis的授权网络列表中（已满足现有配置）
4. Pod访问配置：让VPC-2的GKE Pod通过TCP Proxy的前端IP访问Redis，Autopilot集群会自动处理出站流量

核心优势：

• 完全满足隔离要求，无需VPC对等或共享VPC
• 全托管服务，无需维护自定义代理或网关
• 自带流量监控、日志功能，便于运维排查

方案2：Serverless VPC Access Connector + 轻量代理

适合小规模流量场景，可额外添加访问控制：

1. 在VPC-1中部署轻量代理VM：
   • 使用Nginx/HAProxy等工具，配置转发规则将流量导向Redis实例
   • 配置代理仅接受来自Serverless VPC Access Connector的流量
2. 创建Serverless VPC Access Connector：
   • 将Connector部署在VPC-1中，授权VPC-2的GKE Autopilot集群使用该Connector
3. Pod配置：修改Pod的环境变量或配置文件，通过Connector的端点访问代理VM，再由代理转发至Redis

核心优势：

• 配置轻量，快速落地
• 代理VM可添加IP白名单、身份认证等额外安全控制

内容的提问来源于stack exchange，提问作者chagan lal