如何让GKE Pod连接本地设备？K8s/GKE新手网络配置求助

问题根源 #

GKE Pod使用的是集群专属的Overlay网络网段（比如你这里的10.65.0.0/17），这个网段默认不会被纳入VPC的VPN路由规则中。而你在CE上跑的Docker容器，默认采用桥接模式，流量会通过CE宿主机的网卡做NAT，相当于用CE的10.3.x.x IP访问本地网段——这个IP在VPC的VPN路由覆盖范围内，所以能正常通信，但GKE Pod的网段没被路由到VPN网关，导致流量断连。

对你两个尝试操作的解答 #

1. 把Pod网段设为10.3.0.0/16是否可行？ #

这个思路错误，而且GKE也不允许这么配置。GKE的Pod网段必须是和VPC子网完全不重叠的独立网段——VPC子网是给集群Node节点（CE实例）分配IP用的，Pod网段是集群内部Overlay网络的地址空间，两者重叠会引发地址冲突，直接导致集群创建失败。

2. 为什么CE上的Docker容器能访问，GKE Pod不行？ #

CE上的Docker容器默认用bridge模式，容器流量会经过宿主机做NAT转换，用CE的VPC IP去访问本地网段，这个IP已经在VPN路由里，所以能通。但GKE Pod的IP属于集群专属网段，VPC路由表和本地网关都没有这个网段的转发规则，自然无法访问。

正确解决步骤 #

步骤1：给VPC添加Pod网段到VPN的路由 #

在GCP控制台进入「VPC网络」→「路由」，创建新路由：

• 目标网段：填写你的GKE Pod网段10.65.0.0/17
• 下一跳：选择你的VPN隧道对应的网关
• 适用范围：选中GKE集群所在的VPC网络

这条路由的作用是把Pod网段的流量导向VPN隧道，让它能发往本地网络。

步骤2：在本地网关添加反向路由 #

在你的本地VPN网关（比如企业路由器）上，添加一条反向路由：把10.65.0.0/17指向GCP VPN隧道的端点IP。这样本地网段的回包才能正确路由回GKE Pod。

步骤3：检查并调整IP masquerade配置（可选） #

如果前面两步做完还不通，检查GKE的IP masquerade设置：GKE默认会对集群外的流量做NAT，但如果你的本地网段不在默认的「不做NAT」列表里，需要手动添加，确保Pod用自身IP直接访问本地网络。

• 查看当前配置：

  kubectl get configmap ip-masq-agent -n kube-system -o yaml
  

• 编辑配置，把你的本地网段加入nonMasqueradeCIDRs：

  kubectl edit configmap ip-masq-agent -n kube-system
  

  修改后内容示例：

  apiVersion: v1
  kind: ConfigMap
  metadata:
    name: ip-masq-agent
    namespace: kube-system
  data:
    config: |
      nonMasqueradeCIDRs:
        - 10.0.0.0/8
        - 192.168.15.0/24  # 这里加你的本地网段
        - 172.16.0.0/12
      masqLinkLocal: false
  

  保存后，ip-masq-agent会自动生效。

步骤4：测试连通性 #

进入任意一个GKE Pod，执行ping测试：

kubectl exec -it <你的Pod名称> -- ping 192.168.15.230

额外建议 #

• 后续创建新GKE集群时，可以通过--cluster-ipv4-cidr参数指定自定义Pod网段，比如：

  gcloud container clusters create <集群名称> --cluster-ipv4-cidr=10.66.0.0/17
  

  这样可以提前在VPC和本地网关配置好路由，避免重复操作。
• 确认GKE节点所在子网的防火墙规则没有阻止Pod网段的流量发往VPN网关。

内容的提问来源于stack exchange，提问作者UUBOY scy