GKE环境下Kubernetes固定UDP服务出入站静态IP配置问题

我完全理解你的痛点——用externalTrafficPolicy: Local的LoadBalancer确实能搞定入站的真实IP保留和固定接收IP，但出站流量绕开LB用节点IP的问题确实是个坑，尤其是你的嵌入式客户端只认特定IP的情况。下面给你两个可行的解决方案，覆盖不同的GKE版本场景：

方案一：Cloud NAT映射出站流量到固定LB IP（通用兼容所有GKE版本） #

这个方案通过GCP的Cloud NAT服务，把Pod的出站流量源IP强制转换成你指定的静态LB IP，同时保留externalTrafficPolicy: Local的入站优势。

步骤1：创建静态外部IP #

先在GCP中申请一个静态IP，作为LoadBalancer的固定接收IP和出站NAT的源IP：

gcloud compute addresses create udp-server-static-ip --region=<你的集群所在区域>

执行后记录下返回的IP地址（比如1.2.3.4）。

步骤2：配置UDP LoadBalancer Service #

创建udp-server-service.yaml配置文件，指定静态IP和Local策略：

apiVersion: v1
kind: Service
metadata:
  name: udp-server-service
spec:
  type: LoadBalancer
  loadBalancerIP: 1.2.3.4  # 替换为你刚才创建的静态IP
  externalTrafficPolicy: Local
  ports:
    - name: udp-service-port
      protocol: UDP
      port: 5300  # 替换为你的UDP服务端口
      targetPort: 5300
  selector:
    app: udp-server  # 替换为你的Pod标签

应用配置：

kubectl apply -f udp-server-service.yaml

步骤3：配置Cloud NAT网关 #

1. 打开GCP控制台，进入VPC网络 > 云NAT
2. 点击“创建NAT网关”，选择集群所在的VPC网络
3. 在“源IP地址”下拉框中选择刚才创建的udp-server-static-ip
4. 勾选集群节点所在的子网，确保Pod的出站流量会被这个NAT网关处理
5. 启用“仅针对实例的IP范围”选项，确保Pod的流量被正确NAT

方案二：GKE原生出站VIP分配（适合GKE 1.21+版本） #

如果你的GKE集群版本在1.21及以上，可以直接用GKE的专属注解，让Pod的出站流量自动使用Service的LB IP，不需要额外配置Cloud NAT，更简洁高效。

修改Service配置文件，添加networking.gke.io/outbound-vip-allocation注解：

apiVersion: v1
kind: Service
metadata:
  name: udp-server-service
  annotations:
    # 这里填你之前创建的静态IP的名称，不是IP地址
    networking.gke.io/outbound-vip-allocation: "udp-server-static-ip"
spec:
  type: LoadBalancer
  loadBalancerIP: 1.2.3.4  # 替换为你的静态IP
  externalTrafficPolicy: Local
  ports:
    - name: udp-service-port
      protocol: UDP
      port: 5300
      targetPort: 5300
  selector:
    app: udp-server

应用配置后，GKE会自动将该Service关联的Pod出站流量源IP设置为LB的静态IP，同时保留入站的真实客户端IP。

验证方法 #

• 入站验证：在服务器Pod中打印客户端源IP，确认是嵌入式设备的真实IP
• 出站验证：在客户端设备上抓包，确认服务器发送的消息源IP是你指定的静态LB IP

内容的提问来源于stack exchange，提问作者Viktor Dahl