如何将GKE部署的Docker服务连接至GCP VPC自建VPN？

直接给结论：你查到的Sidecar部署MLLP适配器的方案，就是这个场景下的标准生产实现路径，没有更通用的官方推荐方案。

流量路径说明 #

整个链路分层逻辑清晰，不需要对SimHospital本身做特殊改造：

• 最外层是Cloud VPN隧道：负责打通GCP VPC和对端医疗系统所在网络的三层连通，所有HL7v2相关的TCP流量都走这个隧道传输。VPN本身不处理任何应用层协议逻辑，只需要提前配置好路由规则、防火墙规则放通MLLP默认端口2575的入方向流量即可。
• 中间层是GKE内网TCP负载均衡：注意不要用常规的HTTP/HTTPS Ingress承载这个流量，普通Ingress不支持原始TCP流量转发，直接创建内网LoadBalancer类型的Service，把VPN侧过来的2575端口流量转发到业务Pod即可。
• 最内层是Pod内的双容器结构：每个运行业务的Pod里同时运行两个容器，共享同一个Pod网络栈
  • 第一个是SimHospital主容器，只负责生成、处理HL7v2消息，监听本地环回地址的服务端口即可，完全不需要感知外部MLLP协议逻辑
  • 第二个是MLLP Adapter sidecar容器，负责监听对外暴露的2575端口，完成MLLP帧拆包/封包、TLS终止、消息格式校验，所有处理完的流量直接通过localhost环回口转发给同Pod的SimHospital主容器，回包逻辑完全对称。

部署校验步骤 #

按顺序做两步校验即可确认全链路连通性正常：

1. 先验证VPN层连通：在VPC内创建一台和GKE集群同网段的测试虚机，通过VPN对端地址测试2575端口的TCP连通性，确认路由、防火墙规则没有拦截流量。
2. 再验证sidecar转发逻辑：进入SimHospital Pod内部，用nc -lv [SimHospital配置的监听端口]临时启动端口监听，从测试虚机发送测试TCP报文，确认报文能正常被Pod内的监听进程收到，就说明整个转发链路无问题。

方案优势 #

这个模式不需要修改SimHospital的任何启动参数、业务代码，所有协议适配逻辑都在sidecar容器内完成，后续升级MLLP适配器、调整传输加密配置、排查消息传输问题都不会影响SimHospital主进程运行，是GKE上部署存在侧信道路协议适配需求的医疗类工作负载的通用实践。

内容的提问来源于stack exchange，提问作者Scared Sandwich