同一VPC内多个EKS集群共享子网的可行性及相关问题咨询

能否在多个EKS集群间共享同一个VPC下的子网 #

答案是可以，AWS EKS没有限制多个集群共用同一组子网，只要子网的IP容量足够、路由规则、安全组等基础网络配置满足两个集群的运行要求，即可正常部署使用。

该部署方案的潜在问题 #

• IP资源耗尽风险升高：EKS的工作节点、Pod、Service以及集群配套的负载均衡器、弹性网卡等资源都会占用子网内的私有IP，多集群共享场景下如果前期IP规划容量不足，很容易在后续集群扩容时出现IP耗尽的问题，尤其是开启了前缀分配（Prefix Delegation）功能的集群，IP消耗速度会远高于常规部署模式。
• 安全隔离难度大幅提升：同一子网内的AWS资源默认网络互通，如果你没有额外配置网络ACL、安全组规则以及Kubernetes集群的网络策略，两个集群的Pod、工作节点之间可以不受限制地互相访问，不仅有数据泄露、越权访问的风险，单个集群的网络攻击、病毒扩散也会直接影响到另一个集群。
• 资源标签冲突风险：EKS集群在创建以及后续运行过程中，会给关联的子网添加集群专属的标签（比如kubernetes.io/cluster/<你的集群名称> = shared）用于调度节点、负载均衡器等资源，如果两个集群同时修改子网标签配置，可能出现标签冲突，导致某一个集群的节点无法正常加入、负载均衡器无法正常创建。
• 故障影响范围被放大：如果共享的子网出现路由配置错误、网络ACL变更异常、IP耗尽等故障，所有部署在该子网内的EKS集群都会同时受影响，不符合故障隔离的最佳实践，会大幅提升故障的影响面和排查难度。
• 服务暴露配置冲突：如果两个集群都需要在子网内创建负载均衡器（ALB/NLB）暴露服务，有可能出现端口占用冲突的问题；如果两个集群部署了同类型的Ingress Controller，也可能出现路由规则冲突，导致服务无法正常访问。

内容的提问来源于stack exchange，提问作者Vivek Bolajwar