在升级的同时路由到 GKE 上的私有服务

Question

为了访问 GKE 上的私有服务，我使用如下命令创建了到其中一个 GKE 节点的静态路由：

gcloud compute routes create vpn-to-gke-services --destination-range 10.x.x.x/20 --network mynetwork --next-hop-instance europe-west1-d/gke-instance-1

当该实例启动并运行时，这可以正常工作，但它无法在升级或缩减集群等情况下继续存在。如何以面向未来的方式解决这个问题？

我想到的一个选项是在节点启动时创建路由。如果我这样做有什么副作用吗？

Answer 1

解决这个问题的最有弹性的方法是编写简单的控制器 pod，在集群中运行并验证至少 N 条这样的路由始终存在。 N 可以是 1（就像您现在一样），或者您可以将其设置为更大的数字以实现冗余（如果您创建多个具有相同 cidr 范围和不同下一跳实例的 GCE 路由，它们将自动在它们之间轮换）。

控制器将监视集群中的节点并协调服务 CIDR 的路由与节点。然后随着节点的来来去去（通过升级或扩展），您可以确保路由自动保持最新。