来自 Pod 的出站连接似乎来自哪个源 IP 范围？

Question

我想设置从 kubernetes 集群（通过 az acs create 创建，大部分默认设置）到 Azure Postgresql 实例的连接，我想知道在 postgres HBA 中输入什么源 IP 范围（这是Azure 在az postgres server 下调用firewall-rule）。

问题是，虽然我可以从控制台错误（使用psql 测试时）看到集群请求来自的当前 IP 是什么

FATAL:  no pg_hba.conf entry for host "x.x.x.x" [...]

...我只是在集群属性中的任何地方都看不到这个 IP 地址 - 无论如何，将这个 IP 地址列入白名单而不知道它是如何分配的似乎是一个非常脆弱的配置。

（在 Azure 门户中，我确实看到了一个与集群主服务器关联的“公共 IP”，但这与 postgres 看到的 IP 不同，而且我认为主要用于入口。）

那么理想情况下，ACS 是否允许我控制集群的出站 IP 地址？如果没有，我能否以编程方式确定允许的 IP 或 IP 范围？

Answer 1

它应该是调度 pod 的节点的外部 IP，例如在容器引擎上：

$ kubectl get no -o wide
NAME                              STATUS    AGE       VERSION   EXTERNAL-IP       OS-IMAGE                             KERNEL-VERSION
gke-cluster-1-node-1              Ready     58d       v1.5.4    <example node IP> Container-Optimized OS from Google   4.4.21+

$ ssh gke-cluster-1-node-1
$ curl icanhazip.com
<example node IP>

$ kubectl get po -o wide | grep node-1
example-pod-1                                     1/1       Running   0          11d       <pod IP>      gke-cluster-1-node-1
$ kubectl exec -it example-pod-1 curl icanhazip.com
<example node IP>

Answer 2

ACS 是否允许我控制集群的出站 IP 地址？和 如果没有，我能否以编程方式确定要使用的 IP 或 IP 范围 允许吗？

据我所知，Azure 容器服务通过 Azure 负载均衡器向公众公开 docker 应用程序，负载均衡器将获得一个公共 IP 地址。
顺便说一句，我们无法指定哪个公共 IP 地址将关联到 Azure 负载均衡器。

在我们可以将应用程序公开到互联网后，我们可以将公共 IP 地址添加到您的 Postgresql 的 postgres HBA。