跨配对区域部署的AKS集群间Postgres通信是否需要VNet对等互连？

核心结论 #

绝大多数生产场景下必须配置跨区域VNet对等互连，这是实现跨区域AKS集群私有网络通信成本最低、延迟最优、安全性最高的方案。 #

原因说明 #

• AKS集群的Pod、Service无论使用kubenet还是Azure CNI网络模式，默认分配的都是所属VNet内的私有IP，不同区域的VNet默认网络隔离，没有额外配置的情况下私有地址无法直接互通。
• 跨区域VNet对等互连可以直接打通两个VNet的路由，通信流量走Azure骨干网，不走公网，延迟低、稳定性有保障，也不会产生额外的公网流量费用。

无需配置VNet对等的特殊场景（不推荐生产使用） #

只有当你将两边的Postgres服务都通过公网暴露时（比如配置公网LoadBalancer类型Service、公网Ingress），可以不用配置VNet对等，但该方案存在明显缺陷：

• 公网传输延迟高、波动大，无法满足数据库通信的稳定性要求
• 公网暴露数据库服务存在极高的安全风险，即使配置IP白名单也远不如私有网络通信安全
• 会产生额外的公网带宽成本

配置VNet对等后的必要补充配置 #

仅配置VNet对等无法直接实现Postgres的互访与服务发现，还需要完成以下配置：

1. 提前确保两个AKS集群的VNet地址段、Pod网段、Service网段完全无重叠，否则会出现路由冲突，对等后也无法正常通信
2. 两边VNet关联的网络安全组（NSG）都需要放行对方VNet全地址段对Postgres默认端口5432的入站、出站规则
3. 服务发现适配：默认的ClusterIP域名仅在单个集群内生效，你可以选择以下任意一种方案实现跨集群服务发现：
   • 给两边Postgres配置固定的私有IP，在各自集群内用ExternalName类型Service或者CoreDNS自定义规则做域名映射
   • 部署开源跨集群服务发现组件
   • 使用Azure官方跨集群服务发现能力

内容的提问来源于stack exchange，提问作者Richard Wolford