GKE中Pod以Node IP为源地址访问本地网络的实现及替代方案

你的核心需求是让Pod的出口流量复用节点的合规IP，绕过本地网络对Pod IP的限制，以下是几种直接可行的实现方式：

1. 针对特定Pod配置SNAT #

如果只需要部分Pod的流量使用节点IP，可在Pod模板中添加GKE专属注解强制SNAT：

apiVersion: apps/v1
kind: Deployment
metadata:
  name: your-target-app
spec:
  template:
    metadata:
      annotations:
        cloud.google.com/snat: "true"  # 关键注解：启用节点级SNAT
    spec:
      containers:
      - name: app-container
        image: your-app-image:latest

部署后，该Pod访问本地网络时，源IP会被替换为所在节点的IP，直接匹配已有的防火墙规则。

2. 集群节点池全局启用SNAT #

如果希望所有Pod都默认使用节点IP对外访问，可修改目标节点池的SNAT配置：

# 更新现有节点池，启用全局SNAT
gcloud container node-pools update YOUR_NODE_POOL_NAME \
  --cluster YOUR_CLUSTER_NAME \
  --enable-snat

该操作会让节点池内所有Pod的出口流量自动SNAT为节点IP，无需逐个配置Pod注解。

3. 验证配置生效 #

部署完成后，可在Pod内执行测试命令确认源IP：

# 进入Pod
kubectl exec -it YOUR_POD_NAME -- /bin/bash
# 访问本地网络内的测试地址或公网IP查看源IP
curl your-local-test-server/ip-check

返回的源IP应与Pod所在节点的IP一致，此时即可正常访问本地网络资源。

内容的提问来源于stack exchange，提问作者tumpy