如何使Kubernetes集群内Pod以静态IP向外发送SNMP告警？

核心思路 #

由于Pod的IP具有临时性，要让Pod对外发送的SNMP请求携带稳定源IP，最可靠的方式是通过**Egress Gateway（出口网关）**统一出口流量：让需要发送告警的Pod将SNMP请求转发到固定的Egress Gateway，由网关使用预先配置的静态IP（绑定到特定Node或通过LoadBalancer获取）向外部网络管理系统发送请求。

具体实现步骤（基于原生Kubernetes） #

1. 准备带静态IP的Node节点

挑选集群中拥有静态公网/内网IP的Node，给它打标签以便后续调度网关Pod：

kubectl label nodes <目标Node名称> egress=static-ip-node

2. 部署Egress Gateway Pod

创建一个绑定到上述Node的Deployment，开启hostNetwork模式，让网关直接使用Node的静态IP作为出口：

apiVersion: apps/v1
kind: Deployment
metadata:
  name: snmp-egress-gateway
spec:
  replicas: 1
  selector:
    matchLabels:
      app: snmp-egress-gateway
  template:
    metadata:
      labels:
        app: snmp-egress-gateway
    spec:
      nodeSelector:
        egress: static-ip-node
      hostNetwork: true  # 直接使用Node的网络栈，出口IP即Node的静态IP
      containers:
      - name: proxy
        image: alpine/socat:latest  # 用socat做简单的UDP转发，适配SNMP场景
        command: ["socat", "-UDP-LISTEN:162,fork", "UDP:<外部网管系统IP>:162"]

也可替换为nginx或其他网关镜像，按需调整转发逻辑。

3. 创建ClusterIP Service暴露网关

让集群内的告警Pod能访问到Egress Gateway：

apiVersion: v1
kind: Service
metadata:
  name: snmp-egress-gateway-svc
spec:
  selector:
    app: snmp-egress-gateway
  ports:
  - name: snmp-trap
    protocol: UDP
    port: 162
    targetPort: 162

4. 配置告警Pod转发SNMP请求

修改告警Pod的应用配置，将SNMP Trap的目标地址从外部系统直接改为snmp-egress-gateway-svc的Service名称（K8s DNS会自动解析）或ClusterIP。这样Pod发送的SNMP请求会先到网关，再由网关用静态IP转发到外部系统。

进阶方案：用NetworkPolicy强制流量路由 #

如果不想修改应用配置，可通过Calico等CNI的NetworkPolicy，强制指定标签的Pod的SNMP流量必须经过Egress Gateway：

apiVersion: projectcalico.org/v3
kind: EgressPolicy
metadata:
  name: enforce-snmp-egress
spec:
  selector: app=snmp-alert-pod  # 你的告警Pod的标签
  egress:
  - action: Allow
    destination:
      selector: app=snmp-egress-gateway
    protocol: UDP
    ports:
    - 162
  - action: Deny
    destination:
      nets: ["0.0.0.0/0"]
    protocol: UDP
    ports:
    - 162

这条规则会禁止告警Pod直接向外部发送UDP 162流量，只能转发到Egress Gateway。

注意事项 #

• 确保Egress Gateway所在Node的防火墙允许UDP 162端口的出站流量；
• 若要避免单点故障，可部署多个网关副本到不同的静态IP Node，通过Service做负载均衡；
• 如果是云环境，也可使用LoadBalancer类型的Service为网关分配固定公网IP，无需依赖Node的静态IP。

内容的提问来源于stack exchange，提问作者M M