无全局控制平面访问的GKE私有集群Pod端口转发方案咨询

以下方案均符合GKE私有集群安全规范，不需要调整现有控制平面授权网络配置，也不会放开控制平面公网访问权限：

方案1：SSH隧道嵌套port-forward（零额外资源，适配堡垒机架构） #

这是适配现有堡垒机访问链路的最简便方案，全程复用已在用的SSH堡垒机连接，不需要额外部署任何组件：

• 直接在本地主机执行单条SSH命令，一次性打通本地到Pod的转发链路：

  ssh -L <本地访问端口>:127.0.0.1:<Pod暴露端口> <堡垒机登录账号>@<堡垒机IP地址> "kubectl port-forward <目标Pod名称> <Pod暴露端口>:<容器内部服务端口>"
  

• 如果需要转发Service而非单个Pod，把命令中<目标Pod名称>替换为svc/<目标Service名称>即可；需要后台运行隧道可以给SSH加上-Nf参数。
• 命令执行完成后，直接在本地浏览器访问127.0.0.1:<本地访问端口>就能正常访问集群内应用，流量全程走SSH加密隧道，不会在公网暴露额外端口。

方案2：gcloud原生身份代理隧道（无需堡垒机常驻会话） #

GKE私有集群原生支持通过gcloud CLI的身份代理走Google内部加密链路访问控制平面，不需要把本地IP加入控制平面授权网络：

• 本地安装gcloud CLI后，使用拥有集群RBAC权限的账号执行gcloud auth login完成身份认证
• 拉取集群凭证时指定内网访问模式，自动配置本地代理：

  gcloud container clusters get-credentials <你的集群名称> --region <集群所在区域> --project <你的GCP项目ID> --internal-ip
  

• 凭证配置完成后，直接在本地执行常规kubectl port-forward命令即可，所有控制平面流量通过gcloud本地启动的加密代理经Google内部链路转发，和在集群同VPC内操作效果完全一致。

该方案要求本地网络可以正常访问Google Cloud公共API端点，全程遵循现有RBAC权限控制，不会降低私有集群安全等级。

方案3：适配Google Cloud Shell环境的轻量方案 #

在Cloud Shell环境下不需要搭建额外隧道，直接利用Cloud Shell自带的IAP连接和Web预览能力即可：

• 在Cloud Shell中通过IAP SSH连接到授权堡垒机
• 在堡垒机上执行port-forward时指定监听0.0.0.0:8080（Cloud Shell默认支持8080端口的Web预览）
• 点击Cloud Shell右上角的Web预览按钮，即可直接在浏览器中访问转发的应用服务。

方案选型建议 #

• 日常本地调试优先选方案1，完全复用现有堡垒机链路，安全配置零改动
• 堡垒机连接不稳定、需要长期本地调试选方案2，没有额外SSH会话依赖
• 临时用Cloud Shell排查问题选方案3，不需要做任何本地配置

内容的提问来源于stack exchange，提问作者saurabh umathe