如何在EKS集群中为每个命名空间配置独立的静态出口EIP

以下是适配大规模私有子网EKS集群的可落地方案，优先推荐AWS原生兼容方案：

方案1：EKS VPC CNI原生Egress IP功能（最优推荐） #

EKS官方VPC CNI插件从v1.12.0版本开始正式支持按命名空间/Pod标签匹配的静态出口IP能力，完全适配需求：

• 前置要求：VPC CNI版本≥v1.12.0，集群版本≥EKS 1.21
• 实现步骤：
  1. 为每个需要独立出口的命名空间提前申请专属EIP，在公网子网创建对应EgressIPPool资源，关联预留的EIP
  2. 给目标命名空间打指定匹配标签，配置EgressIP规则将该命名空间所有Pod的出口流量关联到对应EIP池
  3. VPC CNI会自动完成流量路由，所有该命名空间的公网出口流量都会通过绑定了专属EIP的弹性网卡转发，不会复用节点IP
• 优势：AWS原生托管能力，无需额外部署第三方网关组件，运维成本极低，天然支持超大规模集群，匹配多租户隔离要求。

方案2：独立绑定EIP的Calico Egress Gateway优化方案 #

针对之前尝试的Calico方案存在的限制，可通过调整部署模式解决：

• 不使用共享节点IP的hostNetwork模式部署Egress Gateway，改为给每个命名空间部署专属的Egress Gateway实例
• 为每个Gateway Pod的独立弹性网卡直接绑定预留的专属EIP，配置Calico EgressPolicy规则按命名空间匹配流量到对应Gateway实例
• 优势：不绑定AWS原生能力，可兼容跨云部署场景，路由规则可控。

方案3：托管NAT Gateway多路由表方案 #

适合超大规模、出口流量极高的生产场景：

• 为每个需要独立出口的命名空间创建专属私有子网，子网关联独立的私有路由表
• 每个私有路由表的默认公网路由指向专属的NAT Gateway，每个NAT Gateway绑定独立的专属EIP
• 通过VPC CNI的Pod IP池功能，将指定命名空间的所有Pod调度到对应专属私有子网，自动匹配路由规则走专属EIP出口
• 优势：NAT Gateway为AWS全托管服务，无可用性风险，可承载TB级出口流量，无需运维网关节点。

之前尝试方案的优化补全 #

你之前调研的Istio Egress Gateway也可实现需求，只需为每个命名空间的专属Egress Gateway配置绑定了静态EIP的AWS NLB，将命名空间出口流量路由到对应NLB即可，不过整体成本高于上述三个方案，不做优先推荐。

内容的提问来源于stack exchange，提问作者Karthik Balasubramanian