GKE集群中如何对10.0.0/8 CIDR进行IP伪装？

核心逻辑梳理 #

GKE的IP伪装 agent（ip-masq-agent）遵循**"默认伪装非集群网段，仅排除nonMasqueradeCIDRs内的目标"**的规则。默认配置里，10.0.0.0/8这类RFC私有网段被列入了非伪装列表，但你的场景中该网段同时覆盖了本地数据中心、GCP和AWS资源，需要针对性调整——只让本地数据中心的10段IP保留非伪装，GCP/AWS的10段IP触发伪装。

具体操作步骤 #

1. 查看当前ip-masq-agent配置
   先确认现有ConfigMap内容：

   kubectl get configmap ip-masq-agent -n kube-system -o yaml
   

2. 修改ConfigMap，缩小非伪装网段范围
   编辑ConfigMap，只保留本地数据中心的10段子网以及集群内部的Pod/Service网段到nonMasqueradeCIDRs中。示例配置如下（替换成你的实际网段）：

   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: ip-masq-agent
     namespace: kube-system
   data:
     config: |
       nonMasqueradeCIDRs:
         - 10.1.0.0/16  # 替换为本地数据中心实际使用的10段子网
         - 240.0.120.0/24  # 你的集群Pod网段
         - 10.96.0.0/12  # 替换为你的集群Service网段（GKE默认是这个）
       masqLinkLocal: true
       resyncInterval: 60s
   

   注意：必须包含集群内部的Pod和Service网段，否则集群内通信会被错误伪装，导致服务中断。

3. 重启ip-masq-agent生效配置
   触发DaemonSet滚动重启，让新配置应用到所有节点：

   kubectl rollout restart daemonset ip-masq-agent -n kube-system
   

特殊场景处理 #

如果需要对**所有10.0.0.0/8网段IP（除集群内部）**都进行伪装，直接从nonMasqueradeCIDRs中移除10.0.0.0/8相关条目即可，只保留集群内部网段和link-local地址（如果需要）。

内容的提问来源于stack exchange，提问作者Gaurang Shah