GKE Autopilot节点出站IP范围：Mongo Atlas白名单及替代方案咨询

1. 配置Cloud NAT固定出站IP #

为GKE集群所在VPC部署Cloud NAT网关，绑定静态公网IP（或IP池）。所有Pod的出站流量会通过这些固定IP转发，只需将这些IP加入Mongo Atlas的白名单即可。

• 操作要点：创建NAT网关时关联静态IP，确保集群子网的路由指向NAT；Autopilot集群默认支持NAT配置，无需手动修改节点设置
• 优势：IP范围极小（可缩至单个IP），完全可控，符合最小权限原则

2. 建立跨云VPN+Mongo私有端点 #

通过IPsec VPN连接GCP VPC与AWS VPC，同时为Mongo Atlas配置AWS私有端点，让GKE Pod通过私有网络访问Mongo：

• 操作要点：在GCP和AWS间创建VPN隧道，配置路由打通双方VPC网段；Mongo Atlas端启用私有端点，限制仅允许AWS VPC内的流量访问
• 优势：流量完全走私有网络，无需公网IP白名单，安全性最高；无需升级Mongo集群规格（只要支持私有端点）

3. 动态更新Mongo白名单脚本 #

通过定时脚本自动获取GKE节点的公网IP，并同步到Mongo Atlas的访问列表：

• 操作要点：用gcloud container clusters describe <集群名> --zone <可用区>提取节点外部IP；调用Mongo Atlas API更新白名单；用Cloud Scheduler设置定时任务（如每5分钟执行一次）
• 注意：需为脚本配置GCP资源读取权限和Mongo Atlas API权限；白名单范围是所有节点IP，比NAT方案大，但远优于开放全网段

4. 升级Mongo集群至支持VPC对等的规格 #

若业务允许，将M5及以下规格的Mongo Atlas集群升级到支持VPC对等的 tier（如M6系列），然后建立GCP-AWS的VPC对等连接：

• 操作要点：升级Mongo集群后，在双方云平台配置VPC对等，打通路由和防火墙规则
• 优势：长期架构更合规，私有网络访问无公网暴露；但涉及集群升级的成本和短暂停机

内容的提问来源于stack exchange，提问作者caeus