AKS Kubenet 为您带来子网、可路由和 AGIC AKS 集成

Question

只是一个问题，在微软页面上 https://learn.microsoft.com/en-us/azure/aks/configure-kubenet#bring-your-own-subnet-and-route-table-with-kubenet 它说

“使用 kubenet，您的集群子网上必须存在路由表。AKS 支持引入您自己的现有子网和路由表。 如果您的自定义子网不包含路由表，AKS 会为您创建一个路由表，并在整个集群生命周期中向其中添加规则。如果您的自定义子网在您创建集群时包含路由表，AKS 会在集群操作期间确认现有路由表，并为云提供商操作相应地添加/更新规则。”

此外，对于带有 Appgateway 的 AGIC，您还需要如果是 kubenet，则将此路由表链接到应用程序网关子网 https://learn.microsoft.com/en-us/ azure/application-gateway/configuration-infrastruct

“如果您将 kubenet 与 Azure Kubernetes 服务 (AKS) 和应用程序网关入口控制器 (AGIC) 结合使用，则需要一个路由表来允许从应用程序网关发送到 Pod 的流量路由到正确的节点，如果您使用 Azure CNI，则不需要这样做。”

因此，这带来了一个有趣的问题，如果我的客户希望拥有默认流量，该怎么办？从 AKS 子网 0.0.0.0/0 到 NVA（例如 Azure 防火墙），我认为这并不罕见。但是，这似乎破坏了应用程序网关子网，因为应用程序网关子网不允许默认路由到 NVA。

如何解决这个问题？也许有两个路由表，但我想知道 AKS 是否可以更新这两个路由表？

Answer 1

嘿，OP，这是一个棘手的问题，但微软确实有一些相关的文档。应用程序网关需要能够路由到互联网和后端集群。 (https://learn.microsoft .com/en-us/azure/architecture/example-scenario/gateway/firewall-application-gateway）
我使用以下配置：

路由表 #1

路由 1

Name: All
Address Prefix: 0.0.0.0/0
Hop Type: Virtual Appliance
Hop IP Address: Firewall Private IP

路由 2

Name: AppGw
Address Prefix: App Gateway Subnet CIDR
Next Hop Type: Virtual Appliance
Next Hop IP Address: Firewall Private IP

关联子网：AKS 群集子网

路由表 #2

路由 1

Name: AppGw-To-Backend-Pool
Address Prefix: Whole VNet CIDR
Hop Type: Virtual Appliance
Next Hop IP Address: Firewall Private IP

路由 2

Name: Internet
Address Prefix: 0.0.0.0/0
Hop Type: Internet

关联子网 - 应用程序网关子网