GKE节点池耗尽外部IP配额，如何禁用节点临时公网IP？

针对你在大型编程课程托管环境中遇到的GKE节点池外部IP配额不足问题，解决方案的核心是让节点池仅使用内部IP运行，不自动分配临时外部IP——这完全匹配你的场景（节点在反向代理后，不需要直接SSH访问，还能减少攻击面）。下面是具体的实现步骤和关键注意事项：

一、创建无外部IP的新节点池 #

如果是新建节点池（推荐用于替换现有节点池），可以直接在创建时指定不分配外部IP：

gcloud container node-pools create student-node-pool \
  --cluster your-jupyterhub-cluster \
  --region your-cluster-region \
  --no-address \
  --enable-autoscaling --min-nodes 2 --max-nodes 50  # 根据你的课程规模调整自动扩缩容参数

--no-address 参数是核心，它会告诉GKE不为该节点池中的任何节点分配临时外部IP，所有节点仅使用内部IP完成通信。

二、替换现有节点池（如果已有运行中的节点池） #

由于节点的网络配置是创建时确定的，无法直接修改现有节点池的外部IP设置，需要通过「新旧节点池替换」的方式平滑迁移：

1. 先按照上面的命令创建新的无外部IP节点池
2. 逐步驱逐旧节点池上的Pod，让调度器将Pod自动调度到新节点池：

   gcloud container node-pools drain old-node-pool \
     --cluster your-jupyterhub-cluster \
     --region your-cluster-region
   

3. 待旧节点池的Pod全部迁移完成后，缩容并删除旧节点池：

   gcloud container node-pools resize old-node-pool \
     --cluster your-jupyterhub-cluster \
     --region your-cluster-region \
     --size 0
   gcloud container node-pools delete old-node-pool \
     --cluster your-jupyterhub-cluster \
     --region your-cluster-region
   

三、关键补充：配置Cloud NAT保证节点出站访问 #

节点没有外部IP后，无法直接访问公网资源（比如拉取Docker镜像、访问外部API），因此必须配置Cloud NAT让节点通过NAT网关实现出站访问：

1. 先创建一个云路由器（如果你的VPC还没有）：

   gcloud compute routers create jupyterhub-nat-router \
     --region your-cluster-region \
     --network your-vpc-network
   

2. 为路由器配置NAT规则：

   gcloud compute routers nats create jupyterhub-nat-config \
     --router jupyterhub-nat-router \
     --region your-cluster-region \
     --auto-allocate-nat-external-ips \
     --nat-all-subnet-ip-ranges
   

这个配置会让VPC内的所有节点（包括新创建的无外部IP节点）通过NAT网关安全访问公网，同时不会暴露节点自身的IP。

四、效果验证 #

完成上述配置后，新扩容的节点将不会分配外部IP，你可以通过以下命令查看节点的网络配置：

gcloud compute instances list --filter="name:gke-your-jupyterhub-cluster-*" --format="value(name,networkInterfaces[0].accessConfigs[0].natIP)"

无外部IP的节点会在natIP列显示为空，这就说明配置生效了。

这样设置后，你的节点池就可以不受外部IP配额限制，支持GKE自动扩缩容到上千节点的上限，同时彻底关闭了节点直接SSH访问的攻击面，完全适配你的JupyterHub课程托管场景。

内容的提问来源于stack exchange，提问作者nth