如何实现Azure VNET与K8s Pod的对等连接？或安全对接Azure VPN Gateway

你的网络拓扑显示：Azure VNet通过VPN Gateway与本地网络建立双向连通，当前需要将K8s Pod接入该安全链路。

需求可行性 #

完全可以实现。你已完成Azure VPN Gateway、VNet与本地网络的双向连通基础，只要将K8s的Pod网络纳入该连通链路的路由范围，即可实现Pod与VPN另一侧资源的安全通信。

对等连接配置步骤 #

场景1：K8s为Azure AKS集群 #

• 切换AKS网络插件为Azure CNI（默认Kubenet模式下Pod使用虚拟IP，无法直接接入VNet路由）
• 在Azure VPN Gateway关联的本地网络网关配置中，添加AKS的Pod CIDR和Service CIDR到路由前缀列表
• 重启VPN连接，确保路由规则同步至本地网络设备
• 验证：在Pod内发起对本地网络测试IP的ping请求，确认连通性

场景2：K8s为Azure VM自建集群 #

• 创建K8s所在VM子网与VPN Gateway所在VNet的VNet对等连接
• 开启对等连接的「允许网关传输」选项，让K8s子网流量可通过VPN Gateway转发
• 在本地网络网关中添加K8s的Pod CIDR和Service CIDR
• 配置K8s的CNI插件与kube-proxy，确保Pod流量能正确路由至VNet网关

最优替代方案 #

若对等连接并非最优选择，推荐以下方案：

• Azure CNI + 自定义路由表：针对AKS，使用Azure CNI让Pod直接获取VNet IP，通过自定义路由表将Pod流量导向VPN Gateway，配置更简洁，无需额外对等连接
• Azure Private Link：若仅需Pod访问特定Azure/本地服务，创建Private Link服务将目标服务接入VNet，Pod通过私有IP直接访问，安全性更高且延迟更低
• 服务网格（Istio/Linkerd）：部署服务网格，通过Sidecar代理管控Pod流量转发至VPN Gateway，实现细粒度的流量策略与安全管控，适配多集群或复杂流量场景
• Azure Arc 托管K8s：若K8s部署在本地，通过Azure Arc将集群纳入Azure管理体系，借助Arc的网络能力实现与Azure VNet、VPN的连通，统一管控混合云网络

内容的提问来源于stack exchange，提问作者Andy B