不同Kubernetes集群中的Pod如何实现跨集群通信

已知同一Kubernetes集群内的Pod可直接通过Pod IP实现互访，以下针对两种跨环境Pod通信场景给出可直接落地的实现方案，同时说明通信支持的协议类型。本地环境的Pod既可以通过Minikube部署，也可以直接通过kubectl命令运行。

场景1：本地设备运行的Pod 与 AWS EKS集群EC2节点上的Pod通信 #

可选实现方案如下：

• 底层网络路由打通方案
  先打通本地网络和AWS VPC的网络连接：小规模测试场景可以用AWS提供的Client VPN把本地设备接入VPC，生产场景可以用专线或者IPsec VPN搭建本地环境和AWS VPC的稳定连接。之后在两侧路由表做双向配置：本地侧把EKS集群的Pod CIDR网段的下一跳指向VPN/专线的AWS侧网关，AWS侧的VPC路由表把本地Pod的CIDR网段下一跳指向VPN/专线的本地侧网关，同时放开两侧安全组、网络ACL对应业务端口的访问权限，两边Pod就可以直接通过Pod IP互访。
• 服务暴露代理方案
  不想折腾底层网络的话，可以把需要被对端访问的Pod通过网关暴露成对端可直达的地址：EKS侧可以把Pod关联LoadBalancer类型的Service，自动创建NLB/ALB负载均衡地址，本地Pod直接访问这个负载均衡地址即可；本地侧的Pod可以通过端口映射、内网穿透工具把服务端口暴露到公网或者VPC可达的地址，EKS侧Pod访问该暴露地址就能完成通信。
• 跨集群服务网格方案
  如果有统一服务治理、流量管控、加密通信的需求，可以在本地环境和EKS集群同时部署Istio服务网格，配置多集群服务发现规则，通过两侧部署的东西向网关打通两个集群的网格平面，Pod可以用服务名直接透明访问对端服务，不需要手动维护大量路由规则，还自带mTLS加密、流量灰度、链路追踪能力。

场景2：两台不同本地设备上运行的Pod之间通信 #

可选实现方案如下：

• 虚拟隧道+路由方案
  如果两台设备不在同一局域网，先在两台设备上用WireGuard、IPsec搭建点对点虚拟专用隧道；如果在同一局域网，直接走物理网卡通信即可。之后在两台设备的宿主机路由表中添加对端Pod网段的路由，下一跳指向对端设备的隧道IP/局域网IP，放开宿主机防火墙对应端口规则，两边Pod即可直接通过Pod IP互访。
• 端口映射方案（适合临时调试）
  轻量测试场景不需要复杂组网，直接用kubectl port-forward --address 0.0.0.0 <pod名称> <宿主机端口>:<Pod服务端口>命令把需要被访问的Pod端口映射到宿主机的对外网卡上，对端设备上的Pod直接访问这台设备的宿主机IP+映射端口即可通信。
• 跨节点CNI组网方案
  如果需要长期稳定的跨设备Pod互访能力，可以在两台设备上部署支持跨主机组网的CNI插件，比如Flannel VXLAN模式、Calico IPIP/BGP模式、Weave Net，两台设备的容器网络会被纳入同一个虚拟平面，Pod启动时自动分配全局不冲突的IP地址，不需要手动配置路由，Pod之间直接用Pod IP就能通信。

支持的通信协议 #

• 只要是三层网络直连打通的场景（路由打通、隧道组网、跨节点CNI、服务网格透明转发），所有基于TCP、UDP的应用层协议（HTTP/HTTPS、gRPC、MQTT、SSH、DNS等）都可以正常运行，同时支持ICMP协议，可以直接用ping命令做连通性校验。
• 如果用服务暴露、反向代理的方案，需要匹配代理支持的协议：普通七层Ingress默认只支持HTTP/HTTPS协议，四层负载均衡、端口映射方案支持TCP/UDP协议，要根据业务实际用的协议选择对应暴露方式。

内容的提问来源于stack exchange，提问作者Ayush