GCP同一VPC内VPN子网VM能否访问kube子网二级IPv4服务网段？

环境信息 #

• VPC：main
  • 子网：VPN（10.0.2.0/24）
  • 子网：kube（10.52.0.0/16）
    • kube附属二级IPv4网段：gke-services-range（10.152.0.0/16）

问题与验证现象 #

位于VPN子网的VM（10.0.2.3）能否访问gke-services-range中的10.152.0.4？

已验证的通信状态：

• VM → GKE节点：通信正常，ping/ssh均可正常使用
• GKE节点 → GKE服务（10.152.0.4）：通信正常，curl可正常访问
• VM → GKE服务（10.152.0.4）：无法连接，curl请求超时

核心原因 #

GKE的服务网段（gke-services-range）是集群内部的虚拟IP段，这些IP的路由规则仅存在于GKE节点的iptables和kube-proxy配置中，VPC层面默认没有对应的路由条目将该网段流量转发到GKE节点，因此非GKE节点的VM无法直接访问。

解决步骤 #

1. 启用GKE VPC原生流量路由
   若为VPC-native集群，在GKE集群配置中开启VPC原生流量路由，并确保服务地址范围已关联到main VPC。开启后GCP会自动在VPC路由表中添加指向GKE节点的路由，让VM的服务网段流量能被正确转发。

2. 检查并补充防火墙规则
   确认GKE节点的防火墙规则允许来自10.0.2.0/24网段的流量访问目标服务端口，可添加一条针对10.0.2.0/24到GKE节点网络标签的入站规则，放行对应端口的流量。

3. 验证VPC路由表
   查看main VPC的路由表，确认存在指向10.152.0.0/16的路由，下一跳为GKE节点实例组或集群转发端点。若缺失，可手动添加或通过GKE的VPC路由发布自动生成。

4. 备选方案：用内部负载均衡暴露服务
   若无需直接访问虚拟IP，可将GKE服务通过内部负载均衡（ILB）暴露，分配一个VPC内的真实IP，VM直接访问该ILB IP即可对接服务。

内容的提问来源于stack exchange，提问作者AChichi