如何让Kubernetes集群以固定IP访问外部服务？

一、固定出口IP完全可实现，以下是EKS环境下的两种主流方案： #

1. NAT网关+弹性IP（EIP）方案（最常用） #

• 为EKS节点所在的私有子网部署NAT网关，并为该网关绑定一个弹性IP（EIP），这个EIP就是集群访问外部服务的固定出口IP
• 修改私有子网的路由表，将所有出站流量（目标为0.0.0.0/0或外部服务的IP段）的下一跳指向该NAT网关
• 配置完成后，集群内所有Pod访问外部服务时，源IP都会是这个固定EIP，直接将其添加到外部RabbitMQ、PostgreSQL的安全组白名单即可
• 多AZ部署建议：每个AZ单独配置NAT网关+EIP，避免单点故障；若成本敏感，也可跨AZ共用一个NAT网关

2. Gateway Load Balancer（GWLB）+ 代理实例方案（适合需流量管控场景） #

• 部署一组绑定固定EIP的EC2代理实例，配置为集群出站流量的转发节点
• 使用GWLB将EKS集群的出站流量导向这些代理实例
• 外部服务的安全组仅需白名单代理实例的EIP即可，同时可在代理层实现WAF、流量审计等额外管控

二、关于你配置的RabbitMQ Service与Endpoint #

你的判断完全正确：这组配置仅用于集群内部路由优化，和集群对外出口IP无任何关联：

• 你定义的Service类型为LoadBalancer，作用是将集群内标注app: job-wq-1的Pod暴露给外部访问，和访问外部RabbitMQ无关
• 后续的Endpoints资源是将名为rabbitmq的内部Service指向外部RabbitMQ的公网IP，目的是让集群内Pod可以通过rabbitmq:5672这类内部域名访问外部服务，仅优化了内部DNS解析和路由路径，不会改变Pod访问外部服务时的源IP

额外注意事项 #

• 确保EKS节点的安全组允许出站流量到NAT网关/GWLB/代理实例
• 若外部服务部署在AWS同区域VPC内，可优先考虑VPC对等连接（VPC Peering）或AWS PrivateLink，无需公网出口IP，直接白名单VPC内部IP段，安全性更高

内容的提问来源于stack exchange，提问作者JackLidge