如何将Kubernetes集群所有流量通过单个节点转发

K8s原生可实现的方案 #

• 主流CNI的Egress IP功能
  如果你的集群使用Calico、Cilium、Flannel这类主流CNI插件，可直接调用其内置的Egress IP特性：指定集群所有Pod的出口流量统一SNAT为x子网内的一个固定IP（该IP属于IPsec VPN覆盖范围）。y子网节点上的Pod流量会先通过CNI的集群隧道转发到x子网的对应节点完成地址转换，再经由VPN隧道访问外部网络。
  以Calico为例，参考配置如下：

  apiVersion: crd.projectcalico.org/v1
  kind: EgressIP
  metadata:
    name: global-egress-rule
  spec:
    egressIP: 10.x.x.200 # 替换为x子网内预留的、未被占用的可用IP
    namespaceSelector: "all()" # 匹配所有命名空间，可按需缩小匹配范围
  

• Kubernetes内置Egress Gateway
  1.26及以上版本的Kubernetes已正式支持Egress Gateway特性，需要提前开启kube-proxy的IPVS模式并启用EgressGateway特性门控。配置后可指定x子网内的若干节点作为统一出口网关，所有集群外访问流量都会被自动路由到这些网关节点，由网关节点做SNAT后通过VPN对外发起请求，y子网的Pod流量无需做额外适配。

非K8s体系的解决方案 #

• 部署x子网正向代理
  在x子网内部署Squid、Nginx等正向代理服务，通过全局环境变量注入（可通过MutatingWebhook自动注入，也可直接在工作负载模板中配置）给所有Pod设置http_proxy/https_proxy指向该代理地址。代理服务本身处于VPN覆盖范围，可直接转发所有对外请求。
• 底层网络静态路由配置
  在y子网的网关设备上添加静态路由规则：所有目的地址为非集群内部网段的流量，下一跳统一指向x子网的IPsec VPN网关。该方案在基础设施层完成流量转发，对K8s集群完全无侵入，不需要修改任何集群内配置。
• 独立SNAT网关转发
  在x子网内选择几台节点作为专用SNAT网关，在所有y子网的K8s节点上配置路由规则：所有公网访问流量的下一跳指向上述SNAT网关，由网关统一完成地址转换后走VPN隧道对外访问。

内容的提问来源于stack exchange，提问作者alkhatim