在 GKE 中自訂網路隔離

控制台

如要建立叢集，請完成下列步驟：

1. 前往 Google Cloud 控制台的「Google Kubernetes Engine」頁面。

   前往「Google Kubernetes Engine」

2. 按一下「add_box Create」(建立)。

3. 根據專案需求設定叢集的屬性。

4. 在導覽選單中，按一下「網路」。

5. 在「控制層存取權」下方，設定控制層端點：

   1. 選取「Access using DNS」核取方塊，啟用控制層的 DNS 端點。
   2. 選取「透過 IPv4 位址存取」核取方塊，啟用控制層的 IP 位址端點。使用「定義可存取控制層的 IP 位址」中包含的設定，自訂 IP 型端點的存取權。

gcloud

如果是 Autopilot 叢集，請執行下列指令：

  gcloud container clusters create-auto CLUSTER_NAME \
    --enable-ip-access  \
    --enable-dns-access

如果是標準叢集，請執行下列指令：

  gcloud container clusters create CLUSTER_NAME \
      --enable-ip-access \
      --enable-dns-access

更改下列內容：

• CLUSTER_NAME：叢集名稱。

這兩項指令都包含可啟用下列功能的標記：

• enable-dns-access：啟用控制層的 DNS 型端點，以存取控制層。
• enable-ip-access：啟用透過 IPv4 位址存取控制層的功能。如要同時停用控制層的內部和外部端點，請改用 no-enable-ip-access 旗標。

使用「定義可存取控制層的 IP 位址」中列出的標記，自訂 IP 型端點的存取權。

控制台

1. 在「控制層存取權」下方，選取「啟用授權網路」。
2. 點選「新增授權網路」。
3. 輸入網路的 [Name] (名稱)。
4. 在「網路」中，輸入要授予叢集控制層存取權的 CIDR 範圍。
5. 按一下 [完成]。
6. 視需要新增其他授權網路。

定義控制層 IP 位址防火牆規則

如要定義控制層 IP 位址防火牆規則，請完成下列步驟：

1. 展開「顯示 IP 位址防火牆規則」部分。

2. 選取「透過控制層的外部 IP 位址存取」核取方塊，允許從公開 IP 位址存取控制層。

   最佳做法：

   定義控制層授權網路，限制控制層存取權。

3. 選取「從任意區域透過控制層的內部 IP 位址存取」核取方塊。任何區域的內部 IP 位址都可以存取控制層內部端點。 Google Cloud

4. 選取「在控制層的內部端點強制使用授權網路」。只有您在「新增授權網路」清單中定義的 IP 位址，才能存取控制層內部端點。內部端點預設為啟用。

5. 選取「為授權網路新增外部 IP 位址」 Google Cloud 。 Google Cloud 中的所有公開 IP 位址都可以存取控制層。

gcloud

您可以使用下列標記，設定可存取控制層外部和內部端點的 IP 位址：

• enable-private-endpoint：指定停用外部端點的存取權。如要允許從外部 IP 位址存取控制層，請省略這個旗標。在這種情況下，我們強烈建議您使用 enable-master-authorized-networks 旗標控管外部端點的存取權。
• enable-master-authorized-networks: 表示僅有您授權的 IP 位址範圍可以存取外部端點。

• master-authorized-networks：列出授權網路的 CIDR 值。這份清單是以半形逗號分隔。 例如：8.8.8.8/32,8.8.8.0/24。

  最佳做法：

  使用 enable-master-authorized-networks 旗標，限制控制層存取權。

• enable-authorized-networks-on-private-endpoint：指定只有您透過 enable-master-authorized-networks 標記授權的 IP 位址範圍，才能存取內部端點。

• no-enable-google-cloud-access：拒絕從外部 IP 位址存取控制層。Google Cloud

• enable-master-global-access：允許從其他區域的 IP 位址存取。Google Cloud

  您可以繼續定義叢集層級的節點或 Pod 隔離，設定叢集網路。

控制台

1. 前往 Google Cloud 控制台的「Google Kubernetes Engine」頁面。

   前往「Google Kubernetes Engine」

2. 在叢集清單中，按一下叢集名稱。

3. 在「叢集詳細資料」分頁的「控制層網路」下方，按一下 edit。

4. 在「編輯控制層網路」對話方塊中，根據您的用途需求修改控制層存取權。

5. 驗證控制層設定。

gcloud

執行下列指令，並附加符合您用途的旗標。您可以使用下列標記：

• enable-dns-access：啟用控制層的 DNS 型端點，以存取控制層。
• enable-ip-access：啟用透過 IPv4 位址存取控制層的功能。如要同時停用控制層的內部和外部端點，請改用 no-enable-ip-access 旗標。
• enable-private-endpoint：指定停用外部端點的存取權。如要允許從外部 IP 位址存取控制層，請省略這個旗標。在這種情況下，我們強烈建議您使用 enable-master-authorized-networks 旗標控管外部端點的存取權。
• enable-master-authorized-networks: 表示僅有您授權的 IP 位址範圍可以存取外部端點。

• master-authorized-networks：列出授權網路的 CIDR 值。這份清單是以半形逗號分隔。 例如：8.8.8.8/32,8.8.8.0/24。

  最佳做法：

  使用 enable-master-authorized-networks 旗標，限制控制層存取權。

• enable-authorized-networks-on-private-endpoint：指定只有您透過 enable-master-authorized-networks 標記授權的 IP 位址範圍，才能存取內部端點。

• no-enable-google-cloud-access：拒絕從外部 IP 位址存取控制層。Google Cloud

• enable-master-global-access：允許從其他區域的 IP 位址存取。Google Cloud

  gcloud container clusters update CLUSTER_NAME
  

  將 CLUSTER_NAME 替換為叢集名稱。

控制台

1. 前往 Google Cloud 控制台的「Google Kubernetes Engine」頁面。

   前往「Google Kubernetes Engine」

2. 在叢集清單中，按一下叢集名稱。

3. 在「叢集詳細資料」分頁的「控制層」下方，您可以查看控制層端點的下列特徵：

   • DNS 端點包含叢集 DNS 型端點的名稱 (如果已啟用這個端點)。
   • 「透過 IPv4 位址存取控制層」包含以 IP 為基礎的端點狀態。啟用後，您就能查看公開和私人端點的資訊。
   • 如果可從其他區域透過 Google IP 位址存取控制層，「從任意區域透過控制層的內部 IP 位址存取」會顯示「已啟用」狀態。
   • 如果已啟用授權網路，「授權網路」會顯示可存取控制層的 CIDR 清單。
   • 如果只有「授權網路」欄位中的 CIDR 可以存取內部端點，「在控制層的內部端點強制使用授權網路」就會顯示「已啟用」狀態。
   • 如果來自 Google Cloud的外部 IP 位址可以存取控制層，「為授權網路新增外部 IP 位址」 Google Cloud 會顯示「已啟用」狀態。

如要修改任何屬性，請按一下「透過 IPv4 位址存取控制層」edit，然後根據您的用途進行調整。

gcloud

如要驗證控制平面設定，請執行下列指令：

gcloud container clusters describe CLUSTER_NAME

輸出內容包含說明網路定義的 controlPlaneEndpointsConfig 區塊。您會看到類似以下的輸出內容：

controlPlaneEndpointsConfig:
dnsEndpointConfig:
  allowExternalTraffic: true
  endpoint: gke-dc6d549babec45f49a431dc9ca926da159ca-518563762004.us-central1-c.autopush.gke.goog
ipEndpointsConfig:
  authorizedNetworksConfig:
    cidrBlocks:
    - cidrBlock: 8.8.8.8/32
    - cidrBlock: 8.8.8.0/24
    enabled: true
    gcpPublicCidrsAccessEnabled: false
    privateEndpointEnforcementEnabled: true
  enablePublicEndpoint: false
  enabled: true
  globalAccess: true
  privateEndpoint: 10.128.0.13

在本例中，叢集的設定如下：

• 已啟用 DNS 和 IP 位址型端點。
• 已啟用授權網路並定義 CIDR 範圍。系統會對內部 IP 位址強制執行這些授權網路。
• 拒絕從 Google Cloud 外部 IP 位址存取控制層。

控制台

1. 前往 Google Cloud 控制台的「Google Kubernetes Engine」頁面。

   前往「Google Kubernetes Engine」

2. 按一下「add_box Create」(建立)。

3. 視需求設定叢集。

4. 在導覽選單中，按一下「網路」。

5. 在「控制層存取權」下方，設定控制層端點：

   1. 選取「透過 DNS 存取」核取方塊。
   2. 選取「透過 IPv4 位址存取」核取方塊。

6. 選取「啟用授權網路」。

7. 點選「新增授權網路」。

8. 輸入網路的 [Name] (名稱)。

9. 在「網路」中，輸入要授予叢集控制層存取權的 CIDR 範圍。

10. 按一下 [完成]。

11. 視需要新增其他授權網路。

12. 展開「顯示 IP 位址防火牆規則」部分。

13. 選取「從任意區域透過控制層的內部 IP 位址存取」。任何 Google Cloud 區域的內部 IP 位址都可以透過內部 IP 位址存取控制層。

14. 選取「為授權網路新增外部 IP 位址」 Google Cloud 。來自 Google Cloud 的所有外部 IP 位址都可以存取控制層。

您可以定義叢集層級的節點或 Pod 隔離，繼續設定叢集網路。

gcloud

執行下列指令：

gcloud container clusters create-auto CLUSTER_NAME \
    --enable-dns-access \
    --enable-ip-access \
    --enable-master-authorized-networks \
    --enable-master-global-access \
    --master-authorized-networks CIDR1,CIDR2,...

更改下列內容：

• CLUSTER_NAME：GKE 叢集的名稱。
• CIDR1,CIDR2,...：授權網路的 CIDR 值清單，以半形逗號分隔。例如：8.8.8.8/32,8.8.8.0/24。

控制台

1. 前往 Google Cloud 控制台的「Google Kubernetes Engine」頁面。

   前往「Google Kubernetes Engine」

2. 按一下「add_box Create」(建立)。

3. 視需求設定叢集。

4. 在導覽選單中，按一下「網路」。

5. 在「控制層存取權」下方，設定控制層端點：

   1. 選取「透過 DNS 存取」核取方塊。
   2. 選取「透過 IPv4 位址存取」核取方塊。

6. 展開「顯示 IP 位址防火牆規則」部分。

7. 取消選取「透過控制層的外部 IP 位址存取」。任何外部 IP 位址都無法存取控制層。

8. 在「控制層存取權」下方，選取「啟用授權網路」。

9. 選取「從任意區域透過控制層的內部 IP 位址存取」核取方塊。任何 Google Cloud 區域 的內部 IP 位址都可以透過內部 IP 位址存取控制層。

您可以繼續叢集網路設定，在叢集層級定義節點或 Pod 隔離。

gcloud

執行下列指令：

gcloud container clusters create-auto CLUSTER_NAME \
    --enable-dns-access \
    --enable-ip-access \
    --enable-private-endpoint \
    --enable-master-authorized-networks \
    --master-authorized-networks CIDR1,CIDR2,... \
    --no-enable-google-cloud-access \
    --enable-master-global-access

更改下列內容：

• CLUSTER_NAME：叢集名稱。
• CIDR1,CIDR2,...：授權網路的 CIDR 值清單，以半形逗號分隔。例如：8.8.8.8/32,8.8.8.0/24。

控制台

建立叢集

1. 前往 Google Cloud 控制台的「Google Kubernetes Engine」頁面。

   前往「Google Kubernetes Engine」

2. 按一下「建立」add_box，然後在「標準」或「Autopilot」部分中，按一下「設定」。

3. 視需求設定叢集。

4. 在導覽選單中，按一下「網路」。

5. 在「叢集網路」部分，根據您的用途完成下列步驟：

   1. 選取「啟用私人節點」，即可佈建只有內部 IP 位址的節點 (私人節點)，防止外部用戶端存取節點。你隨時可以變更這些設定。
   2. 取消選取「啟用私人節點」，即可佈建只有外部 IP 位址 (公開) 的節點，讓外部用戶端存取節點。

6. 在「Advanced networking options」(進階網路選項) 區段中，設定其他虛擬私有雲原生屬性。詳情請參閱「建立虛擬私有雲原生叢集」。

7. 點選「建立」。

更新現有叢集

1. 前往 Google Cloud 控制台的「Google Kubernetes Engine」頁面。

   前往「Google Kubernetes Engine」

2. 在叢集清單中，按一下叢集名稱。

3. 在「私人節點」的「預設新節點集區設定」分頁中，按一下 edit「編輯私人節點」。

4. 在「Edit Private Nodes」(編輯私人節點) 對話方塊中，執行下列任一操作：

   1. 選取「啟用私人節點」，即可佈建只有內部 IP 位址的節點 (私人節點)，防止外部用戶端存取節點。你隨時可以變更這些設定。
   2. 取消選取「啟用私人節點」，即可佈建只有外部 IP 位址 (公開) 的節點，讓外部用戶端存取節點。

5. 按一下 [儲存變更]。

gcloud

使用下列任一標記定義叢集網路：

• enable-private-nodes：只透過內部 IP 位址佈建節點 (私人節點)。使用這個標記時，請注意下列條件：
  • 使用 enable-private-nodes 時，必須提供 enable-ip-alias 旗標。
  • 建立私人子網路時，master-ipv4-cidr 標記為選用。如果您使用這個標記，GKE 會建立新的子網路，並使用您在 master-ipv4-cidr 中定義的值，然後使用新的子網路為控制層佈建內部 IP 位址。
• no-enable-private-nodes：僅使用外部 IP 位址 (公開節點) 佈建節點。

在 Autopilot 叢集中，建立或更新叢集時，請使用 enable-private-nodes 旗標。

• 如要建立叢集，請使用下列指令：

  gcloud container clusters create-auto CLUSTER_NAME \
      --enable-private-nodes \
      --enable-ip-alias
  

• 如要更新叢集，請使用下列指令。

  gcloud container clusters update CLUSTER_NAME \
      --enable-private-nodes \
      --enable-ip-alias
  

  只有在所有節點集區重新排程後，叢集更新才會生效。這項程序可能需要數小時。

在標準叢集中，建立或更新叢集時，請使用 enable-private-nodes 旗標。

• 如要建立叢集，請使用下列指令：

  gcloud container clusters create CLUSTER_NAME \
      --enable-private-nodes \
      --enable-ip-alias
  

• 如要更新叢集，請使用下列指令：

  gcloud container clusters update CLUSTER_NAME \
      --enable-private-nodes \
      --enable-ip-alias
  

  叢集更新只會影響新的節點集區。GKE 不會更新現有節點集區的這項設定。

叢集設定會遭到節點集區或工作負載層級的網路設定覆寫。

控制台

在標準叢集中，請完成下列步驟：

1. 前往 Google Cloud 控制台的「Google Kubernetes Engine」頁面。

   前往「Google Kubernetes Engine」

2. 在「叢集詳細資料」頁面中，按一下要修改的叢集名稱。

3. 按一下 add_box「Add Node Pool」(新增節點集區)。

4. 根據用途設定「啟用私人節點」核取方塊：

   1. 選取「啟用私人節點」，即可只透過內部 IP 位址佈建節點 (私人節點)。
   2. 取消選取「啟用私人節點」，即可只佈建具有外部 IP 位址 (公開) 的節點，讓外部用戶端存取節點。您隨時可以變更這項設定。

5. 設定新的節點集區。

6. 點選「建立」。

如要進一步瞭解如何管理節點集區，請參閱「新增及管理節點集區」。

gcloud

• 在 Autopilot 叢集和使用節點自動佈建功能的 Standard 節點集區中，將下列 nodeSelector 新增至 Pod 規格：

  cloud.google.com/private-node=true
  

  使用 private-node=true 在只有內部 IP 位址 (私人節點) 的節點上排定 Pod。

  GKE 會根據您的設定，在私人節點或公開節點上重新建立 Pod。為避免工作負載中斷，請個別遷移每個工作負載，並監控遷移作業。

• 在標準叢集中，如要透過現有節點集區中的私人 IP 位址佈建節點，請執行下列指令：

  gcloud container node-pools update NODE_POOL_NAME \
      --cluster=CLUSTER_NAME \
      --enable-private-nodes \
      --enable-ip-alias
  

  更改下列內容：

  • NODE_POOL_NAME：要編輯的節點集區名稱。
  • CLUSTER_NAME：現有叢集的名稱。

  使用下列任一標記定義節點集區網路設定：

  • enable-private-nodes：僅透過內部 IP 位址佈建節點 (私人節點)。
  • no-enable-private-nodes：僅使用外部 IP 位址 (公開節點) 佈建節點。

控制台

1. 前往 Google Cloud 控制台的「Google Kubernetes Engine」頁面。

   前往「Google Kubernetes Engine」

2. 在叢集清單中，按一下叢集名稱。

在「詳細資料」分頁的「網路」下方，記下「控制層位址範圍」欄位的值。

gcloud

執行下列指令：

gcloud container clusters describe CLUSTER_NAME

將 CLUSTER_NAME 替換為叢集名稱。

請記下指令列輸出中，「masterIpv4CidrBlock」欄位中的值。

控制台

1. 前往 Google Cloud 控制台的「Firewall policies」(防火牆政策) 頁面。

   前往「Firewall policies」(防火牆政策) 頁面

2. 在「VPC firewall rules」(虛擬私有雲防火牆規則) 的「Filter table」(篩選資料表) 中，輸入 gke-CLUSTER_NAME。

請記下「Targets」(目標) 欄位中的值。

gcloud

請執行下列指令：

gcloud compute firewall-rules list \
    --filter 'name~^gke-CLUSTER_NAME' \
    --format 'table(
        name,
        network,
        direction,
        sourceRanges.list():label=SRC_RANGES,
        allowed[].map().firewall_rule().list():label=ALLOW,
        targetTags.list():label=TARGET_TAGS
    )'

請記下指令輸出中，「Targets」(目標) 欄位中的值。

如要查看共用虛擬私有雲的防火牆規則，請在指令中加入 --project HOST_PROJECT_ID 旗標。

控制台

1. 前往 Google Cloud 控制台的「Firewall policies」(防火牆政策) 頁面。

   前往「Firewall policies」(防火牆政策) 頁面

2. 按一下「建立防火牆規則」add_box。

3. 在「Name」(名稱) 欄位中，輸入防火牆規則的名稱。

4. 在「Network」(網路) 清單中，選取相關的網路。

5. 在「Direction of traffic」(流量方向) 中，按一下「Ingress」(輸入)。

6. 在「Action on match」(相符時執行的動作) 中，按一下「Allow」(允許)。

7. 在「Targets」(目標) 清單中，選取「Specified target tags」(指定的目標標記)。

8. 在「目標標記」中，輸入您先前記下的目標值。

9. 在「來源篩選器」清單中，選取「IPv4 範圍」。

10. 在「來源 IPv4 範圍」中，輸入叢集控制層的 CIDR 區塊。

11. 在「Protocols and ports」(通訊協定和通訊埠) 中，按一下「Specified protocols and ports」(指定的通訊協定和通訊埠)，選取相關通訊協定 (tcp 或 udp) 的核取方塊，然後在通訊協定欄位中輸入通訊埠號碼。

12. 點選「建立」。

gcloud

執行下列指令：

gcloud compute firewall-rules create FIREWALL_RULE_NAME \
    --action ALLOW \
    --direction INGRESS \
    --source-ranges CONTROL_PLANE_RANGE \
    --rules PROTOCOL:PORT \
    --target-tags TARGET

更改下列內容：

• FIREWALL_RULE_NAME：您選擇的防火牆規則名稱。
• CONTROL_PLANE_RANGE：先前收集的叢集控制平面 IP 位址範圍 (masterIpv4CidrBlock)。
• PROTOCOL:PORT：通訊埠及其通訊協定 (tcp 或 udp)。
• TARGET：先前收集的目標 (Targets) 值。

如要為共用虛擬私有雲新增防火牆規則，請在指令中加入下列旗標：

--project HOST_PROJECT_ID
--network NETWORK_ID