本地通过VPN连接私有GKE集群运行Kubectl命令失败问题咨询

步骤1：验证本地VPN连通性基础检查 #

• 先确认本地OpenVPN连接是否成功建立，执行ipconfig（Windows）或ifconfig/ip a（macOS/Linux）检查是否分配到10.8.0.0/24网段的IP
• 本地ping OpenVPN服务端的隧道IP（通常为10.8.0.1），验证隧道链路是否正常
• 在OpenVPN服务端所在VM上执行ping <GKE私有端点IP>，确认VM本身可以访问GKE集群端点，先排除GKE侧的基础连通问题

步骤2：检查OpenVPN服务端路由配置 #

• 确认OpenVPN服务端已开启IP转发，执行cat /proc/sys/net/ipv4/ip_forward，返回值应为1；如果为0执行echo 1 > /proc/sys/net/ipv4/ip_forward，同时修改/etc/sysctl.conf中net.ipv4.ip_forward = 1永久生效
• 确认OpenVPN配置文件（通常为/etc/openvpn/server.conf）中已添加推送GKE所在VPC网段的路由规则，示例配置如下：

push "route <GKE私有端点所在VPC网段> <子网掩码>"
push "route <GKE Pod网段> <子网掩码>" # 如需直接访问Pod可添加
push "route <GKE Service网段> <子网掩码>" # 如需直接访问Service可添加

• 确认OpenVPN服务端已配置SNAT规则，将10.8.0.0/24网段的请求转发到VPC时替换为VM的内网IP，iptables规则示例：
  iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o <VM内网网卡名> -j MASQUERADE
  需确认该规则已持久化，避免VM重启后丢失

步骤3：检查GCP防火墙与GKE配置 #

• 确认GCP防火墙规则方向为入站，目标是GKE集群的控制平面节点，源地址为10.8.0.0/24，放行443端口
• 确认GKE集群的授权网络确实添加了10.8.0.0/24网段，可通过GCP控制台进入GKE集群详情页，在「网络」分类下查看「已授权网络」列表
• 如果你使用的是VPC原生的私有GKE集群，需确认控制平面的VPC网络与OpenVPN VM所在VPC是同一网络，或已配置对等网络打通

步骤4：本地kubeconfig与连通性验证 #

• 确认本地kubeconfig文件中的server字段地址是GKE的私有端点IP，而非公网IP
• 本地执行telnet <GKE私有端点IP> 443，检查443端口是否可达；如不可达可执行tracert <GKE私有端点IP>（Windows）或traceroute <GKE私有端点IP>（macOS/Linux）排查路由跳转路径，确认请求是否通过VPN隧道转发

内容的提问来源于stack exchange，提问作者Nishchal Dinesh