GCP环境下同VPC不同子网的预留内部IP与GKE NodePort服务的双向流量转发配置咨询

看起来你需要在同VPC跨子网的环境下，实现预留内部IP和GKE NodePort服务之间的双向端口级流量转发，我来一步步帮你梳理可行的配置方案：

一、入向流量：预留IP指定端口 → GKE NodePort服务 #

最稳妥且可维护的方式是使用GCP内部TCP/UDP负载均衡（ILB），毕竟GKE节点是动态增减的，硬编码节点IP的方式不适合长期运行：

• 创建内部负载均衡实例，在前端IP配置环节，选择你已预留的内部IP（需确保该IP未被其他资源占用，且属于当前VPC的IP范围）。
• 配置后端服务：创建包含GKE集群所有节点的实例组（推荐用托管实例组，可自动同步节点的增减），然后设置端口映射：将你指定的前端端口（比如8080）映射到NodePort服务的节点端口（比如30080）。
• 配置防火墙规则：允许VPC内的流量访问ILB的前端端口，同时允许ILB的健康检查流量访问GKE节点的NodePort端口（健康检查是ILB正常工作的必要条件）。

二、出向流量：NodePort服务Pod的指定端口流量 → 预留IP #

这部分需要处理Pod发出的目标端口为指定值的流量，全部转发到预留IP。由于GKE节点是托管的，直接修改节点iptables容易被系统覆盖，推荐用DaemonSet来部署iptables管理Pod：

• 编写DaemonSet的YAML配置，使用alpine/iptables这类轻量镜像，启动脚本中添加iptables规则：

  iptables -t nat -A PREROUTING -s <Pod子网CIDR> -p tcp --dport <指定端口> -j DNAT --to-destination <预留内部IP>:<指定端口>
  

  替换其中的<Pod子网CIDR>为GKE集群Pod所在的子网范围，<指定端口>为你要转发的目标端口，<预留内部IP>为你的实际预留IP。
• 部署该DaemonSet到GKE集群，需给Pod添加CAP_NET_ADMIN权限，确保它能修改节点的iptables规则。
• 验证规则生效：在Pod内执行curl <任意IP>:<指定端口>，同时在预留IP对应的资源（如VM）上抓包，确认流量是否被正确转发。

三、基础连通性检查 #

• 确保同VPC下的两个子网没有拒绝互通的防火墙规则（默认VPC子网是互通的，若自定义了防火墙需开放Pod子网与预留IP子网之间的指定端口TCP/UDP流量）。
• 检查GKE节点的防火墙规则，允许来自ILB的流量访问NodePort端口，同时允许Pod到预留IP的流量。

备注：内容来源于stack exchange，提问作者tumpy