创建集群时需要选择集群的私有网络（VPC）和子网，包括：节点网络、Pod 网络等。随着集群的使用和扩容，集群子网内的 IP 地址可能出现不足。本文为您介绍如何通过辅助 CIDR 扩展集群内的子网。 ## 背景信息集群 VPC 和子网创建完成后，不支持修改网络的 CIDR。当集群 VPC 网络中出现 IP 地址不足或需要修改 CIDR 时，只能通过重新创建一个更大范围的 VPC 进行处理。这种情况下会导致已完成配置的网络功能需要重新配置，ECS 实例需要在 VPC 间进行迁移，成本过高。容器服务集群支持使用 VPC 中的辅助 CIDR 功能，在原 CIDR 基础上添加新的辅助 CIDR，然后使用主 CIDR 或辅助 CIDR 来扩展集群的子网。 ## 使用限制 * 辅助 CIDR 应与目标私有网络主网段所属网段相同。例如，目标私有网络的主网段属于 192.168.0.0/16～24，则辅助 CIDR 也必须属于该网段，而不能是 10.0.0.0/8～24 或 172.16.0.0/12～24 网段。 * 目标私有网络的主网段已经是最大网段（例如 192.168.0.0/16）时，则不能再添加辅助 CIDR。 * 辅助 CIDR 不能与目标 VPC 下的其他 CIDR 网段重叠。 * 辅助 CIDR 添加成功后不可修改。 :::tip 更多辅助 CIDR 功能详情，请参见 [管理辅助 CIDR](https://www.volcengine.com/docs/6401/160068)。 ::: ## 操作步骤 ### 步骤一：创建辅助 CIDR 1. 登录 [私有网络控制台](https://console.volcengine.com/vpc)。 2. 在左侧导航栏中，选择 **私有网络**。 3. 在右侧的私有网络列表中，选择目标私有网络，在 **操作** 栏中单击 **添加辅助 CIDR**。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_40bf136b83411ab10dd307a39868c6f4.png =820x) 4. 配置辅助 CIDR。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_068f0f0b884c38928e00c8e906235d51.png =819x) 5. 单击 **确定**，完成配置。 ### 步骤二：创建子网 1. 在左侧导航栏中，选择 **子网**。 2. 单击 **创建子网**，使用辅助 CIDR 在不同可用区内创建子网。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_5bb238d256960394d5ca8ea96bd83217.png =816x) ### 步骤三：使用辅助 CIDR 扩展集群子网 :::warning * 扩展子网时，选择的辅助 CIDR 不能与 Service CIDR 网段重叠。 * 使用辅助 CIDR 进行集群子网扩展，可能会重启 kube\-apiserver，建议在业务低峰期操作。 ::: #### 扩展节点子网您可以在创建/更新节点池时直接使用辅助 CIDR，完成节点网络扩展。本文以创建节点池为例。 1. 登录 [容器服务控制台](https://console.volcengine.com/vke)。 2. 在左侧导航栏中选择 **集群**，单击目标集群名称，进入集群管理页面。 3. 在左侧导航栏中，选择 **节点管理** \> **节点池**。 4. 单击 **创建节点池**，配置新的节点池，并选择创建的辅助 CIDR，即可完成节点子网扩展。节点池的更多配置，请参见 [创建节点池](https://www.volcengine.com/docs/6460/100955)。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_89cdc040688cced98ed92edb8c8655d5.png =819x) #### 扩展 Pod 子网 1. 登录 [容器服务控制台](https://console.volcengine.com/vke)。 2. 在左侧导航栏中选择 **集群**，单击目标集群名称，进入集群管理页面。 3. 在左侧导航栏中选择 **总览**。 4. 在 **概览** 页签的 **集群网络配** 置中，单击 **Pod 子网** 后面的 **添加**。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_dc520f44e6649a59e3047cce74eb0756.png =819x) 5. 在弹出的页面中选择辅助 CIDR，单击 **确定**，即可完成 Pod 子网扩展。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_914fb5d9579b7ef8b446ed44b22a1d58.png =820x) ### 步骤四：检查安全组为保证集群中节点、Pod 通信正常。使用辅助 CIDR 扩展集群子网后，建议您检查集群的安全组，确认安全组的访问规则中已经放通了新增的辅助 CIDR。下文仅为示例，实际配置时，请根据业务情况配置访问规则中的源地址和端口号。 :::tip 除 VKE 集群所属的安全组外，集群访问的其他服务的安全组也需要确认是否放通辅助 CIDR，例如 vePFS 服务。 ::: 1. 登录 [私有网络控制台](https://console.volcengine.com/vpc)。 2. 在左侧导航栏中，选择 **安全组**，找到集群对应的安全组。 3. 单击安全组名称，进入安全组详情。选择 **访问规则** 页签，并在 **入向规则** 中，确认安全组的访问规则中已经放通了新增的辅助 CIDR。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_b18b5c1c7d4955eb4a4a5598b77d0077.png =816x) 4. 若未放通，单击 **添加规则**，为新增辅助 CIDR 添加入向规则。配置详情，请参见 [添加安全组规则](https://www.volcengine.com/docs/6401/68895)。