GKE集群混合公私有节点池及按需使用NAT的技术咨询

1. 同一GKE集群中可同时配置公网节点池与私有节点池 #

完全可以在单个GKE集群内同时部署公网节点池和私有节点池，具体实现方式如下：

• 创建集群时可先初始化一种类型的节点池（比如公网节点池），后续通过gcloud container node-pools create命令添加私有节点池，指定--enable-private-nodes参数，同时配置对应的子网和VPC。
• 利用节点亲和性/污点容忍将不同任务调度到对应节点池：
  • 给私有节点池添加标签（如node-pool-type=private），给需要静态IP的任务配置节点亲和性，指定调度到带有该标签的节点池；
  • 或者给私有节点池设置污点，让普通任务无法调度过去，仅允许标注了对应容忍度的静态IP任务调度。
• 公网节点池的任务直接使用节点公网IP出站，私有节点池的任务则通过Cloud NAT使用静态IP出站，既满足不同任务的IP需求，又避免拆分集群的复杂度。

2. 仅在需要时使用NAT的方案 #

除了拆分节点池，还有两种更灵活的按需使用NAT的方案：

方案一：基于目标IP范围配置出口策略 #

利用GKE的出口策略（Egress Policy），针对特定的第三方对接IP范围，指定流量通过Cloud NAT出站，其他流量直接走节点公网IP：

• 配置VPC路由表，将第三方目标IP段的路由指向Cloud NAT网关，其余流量保留默认的互联网网关路由；
• 结合节点池的子网配置，实现精准的流量路由控制，仅让需要对接第三方的流量产生NAT费用。

方案二：Pod级别的流量路由 #

给需要静态IP的Pod打标签（如require-static-ip=true），通过VPC网络策略和路由规则，让带有该标签的Pod流量强制走Cloud NAT：

• 配置网络策略，限制这类Pod的流量只能通过指定的路由路径；
• 配合Cloud NAT的子网关联，仅让承载这些Pod的节点子网流量走NAT，其他节点子网流量直接出站。

内容的提问来源于stack exchange，提问作者pguthauser