# CCE集群实现访问跨VPC网络通信 #### 使用场景 由于不同VPC之间网络不通，CCE集群无法跨VPC进行网络通信，您可以通过对等连接连通两个不同网段的VPC，实现本VPC下的集群访问另一个VPC下的集群或其他服务。 图1网络示意 ![](https://support.huaweicloud.com/bestpractice-cce/zh-cn_image_0000001904969768.png "点击放大") 为实现跨VPC访问，不同网络模型的集群需要打通的网段不同。 - 容器隧道网络模型和云原生网络2.0模型（CCE Turbo集群）：仅需打通**两端VPC网段**。 - VPC网络模型的集群：需要同时打通**两端VPC网段和容器网段** 。这是由于VPC网络集群的特性，同一VPC下的客户端可直接通过容器IP访问集群中的Pod，详情请参见[集群跨VPC互联场景](https://support.huaweicloud.com/bestpractice-cce/cce_bestpractice_00004.html#cce_bestpractice_00004__section14417155019213)。 假设集群本端VPC网段为172.16.0.0/16，对端VPC网段为172.17.0.0/16，则两端路由表配置示例如下： | 不同集群网络模型场景 | 两端VPC路由表配置 || | 不同集群网络模型场景 | 集群本端VPC路由表 | 对端VPC路由表 | |:---|:---|:---| | 容器隧道网络模型 | 目的地址需添加对端VPC网段：172.17.0.0/16 | 目的地址需添加集群VPC网段：172.16.0.0/16 | | VPC网络模型 | 目的地址需添加对端VPC网段：172.17.0.0/16 目的地址需添加集群容器网段：假设为10.0.0.0/16 | 目的地址需添加集群VPC网段：172.16.0.0/16 目的地址需添加集群容器网段：假设为10.0.0.0/16 | | 云原生网络2.0模型（CCE Turbo集群） | 目的地址需添加对端VPC网段：172.17.0.0/16 | 目的地址需添加集群VPC网段：172.16.0.0/16 | #### 步骤一：创建VPC对等连接 1. 登录[VPC控制台](https://console.huaweicloud.com/vpc/#/vpc/vpcs/list)，在左侧导航栏中选择"对等连接"。 2. 在页面右上角区域，单击"创建对等连接"，进入"创建对等连接"页面。 3. 根据界面提示设置对等连接参数，参数详细说明请参见[表1]。 图2创建对等连接 ![](https://support.huaweicloud.com/bestpractice-cce/zh-cn_image_0000001996870977.png "点击放大") 表1创建对等连接-参数说明 | 参数 | 说明 | 取值样例 | |:---|:---|:---| | 对等连接名称 | 必选参数。 此处填写对等连接的名称。 由中文字符、英文字母、数字、中划线、下划线等构成，一般不超过64个字符。 | peering-AB | | 本端VPC | 必选参数。 此处为对等连接一端的VPC，可以在下拉框中选择已有VPC作为本端VPC。 | VPC-A | | 本端VPC网段 | 此处显示已选择的本端VPC的网段。 | VPC-A网段：172.16.0.0/16 | | 账户 | 必选参数。 - 当前账户：当对等连接中的对端VPC和本端VPC位于同一个账户下时，选择该项。 - 其他账户：当对等连接中的对端VPC和本端VPC位于不同账户下时，选择该项。 | 当前账户 | | 对端项目 | 当账户选择"当前账户"时，系统默认填充对应的项目，无需您额外操作。 比如VPC-A和VPC-B均为账户A下的资源，并且位于区域A，那么此处系统默认显示账户A下，区域A对应的项目。 | - | | 对端VPC | 当账户选择"当前账户"时，该项为必选参数。 此处为对等连接另外一端的VPC，可以在下拉框中选择已有VPC作为对端VPC。 | VPC-B | | 对端VPC网段 | 此处显示已选择的对端VPC的网段。 当您的本端VPC和对端VPC存在网段重叠的情况时，那么您的对等连接可能会不生效。 | VPC-B网段：172.17.0.0/16 | | 描述 | 可选参数。 您可以根据需要在文本框中输入对等连接的描述信息。 | 使用peering-AB连通VPC-A和VPC-B | 4. 参数填写完成后，单击"立即创建"，弹出路由添加提示对话框。 5. 在路由添加提示对话框中，单击"立即添加"，跳转到对等连接详情页面，继续执行[容器隧道网络模型或云原生网络2.0模型]，添加路由。 #### 步骤二：添加VPC对等连接路由 如[不同网络模型的路由配置]中所示，不同网络模型的集群需要打通的网段不同。 - [容器隧道网络模型或云原生网络2.0模型] 假设集群本端VPC网段为172.16.0.0/16，对端VPC网段为172.17.0.0/16，路由表配置步骤如下。 1. 在对等连接详情页面下方区域，单击"添加路由"，弹出对等连接的"添加路由"对话框。 图3添加对等连接路由 ![](https://support.huaweicloud.com/bestpractice-cce/zh-cn_image_0000001941487201.png "点击放大") 2. 根据界面提示，在VPC路由表中添加**两端VPC网段** 的路由，参数说明如[表2]所示。 表2添加两端VPC网段的路由 | 参数 | 说明 | 取值样例 | |:---|:---|:---| | 虚拟私有云 | 选择对等连接两端中的任意一个VPC。 | VPC-A | | 路由表 | 选择VPC的路由表，路由信息将会添加在该路由表中。 VPC创建完成后自带一个默认路由表，用来控制VPC内子网出方向的流量走向。除了默认路由表，您还可以创建自定义路由表，并关联至子网，则该子网的出方向流量由自定义路由表控制。 - 如果路由表的下拉列表中只有默认路由表，则选择默认路由表即可。 - 如果路由表的下拉列表中同时存在默认路由表和其他自定义路由表，则选择对等连接连通的子网所关联的路由表。 | rtb-VPC-A（默认路由表） | | 目的地址 | 对等连接另一端VPC内的地址，可以为VPC网段、子网网段、ECS IP地址等。 | 本示例为VPC-B的网段：172.17.0.0/16 | | 下一跳地址 | 系统默认填写当前对等连接，您无需选择。 | peering-AB | | 描述 | 路由的描述信息，非必填项。 描述信息内容不能超过255个字符，且不能包含"\<"和"\>"。 | 本端VPC-A到对端VPC-B的去程路由。 | | 添加另一端VPC的路由 | 勾选该参数，可同时添加对等连接另一端VPC内的回程路由。 通常情况下，您需要在对等连接两端VPC的路由表中分别添加去程和回程路由，才可以实现通信。 | 勾选 | | 虚拟私有云 | 系统默认填写对等连接两端的另一个VPC，您无需选择。 | VPC-B | | 路由表 | **选择VPC的路由表，路由信息将会添加在该路由表中** **。** VPC创建完成后自带一个默认路由表，用来控制VPC内子网出方向的流量走向。除了默认路由表，您还可以创建自定义路由表，并关联至子网，则该子网的出方向流量由自定义路由表控制。 - 如果路由表的下拉列表中只有默认路由表，则选择默认路由表即可。 - 如果路由表的下拉列表中同时存在默认路由表和其他自定义路由表，则选择对等连接连通的子网所关联的路由表。 | rtb-VPC-B（默认路由表） | | 目的地址 | 对等连接另一端VPC内的地址，可以为VPC网段、子网网段、ECS IP地址等。 | 本示例为VPC-A的网段：172.16.0.0/16 | | 下一跳地址 | 系统默认选择当前对等连接，无需选择。 | peering-AB | | 描述 | 路由的描述信息，非必填项。 描述信息内容不能超过255个字符，且不能包含"\<"和"\>"。 | 对端VPC-B到本端VPC-A的回程路由。 | 3. 路由信息设置完成后，单击"确定"，返回路由列表，可以看到刚添加的路由。 - [VPC网络模型] 假设集群本端VPC网段为172.16.0.0/16，对端VPC网段为172.17.0.0/16，集群容器网段为10.0.0.0/16，路由表配置步骤如下。 1. 在对等连接详情页面下方区域，单击"添加路由"，弹出对等连接的"添加路由"对话框。 图4添加对等连接路由 ![](https://support.huaweicloud.com/bestpractice-cce/zh-cn_image_0000001941487201.png "点击放大") 2. 根据界面提示，在VPC路由表中添加**两端VPC网段** 的路由，参数说明如[表3]所示。 表3添加两端VPC网段的路由 | 参数 | 说明 | 取值样例 | |:---|:---|:---| | 虚拟私有云 | 选择对等连接两端中的任意一个VPC。 | VPC-A | | 路由表 | 选择VPC的路由表，路由信息将会添加在该路由表中。 VPC创建完成后自带一个默认路由表，用来控制VPC内子网出方向的流量走向。除了默认路由表，您还可以创建自定义路由表，并关联至子网，则该子网的出方向流量由自定义路由表控制。 - 如果路由表的下拉列表中只有默认路由表，则选择默认路由表即可。 - 如果路由表的下拉列表中同时存在默认路由表和其他自定义路由表，则选择对等连接连通的子网所关联的路由表。 | rtb-VPC-A（默认路由表） | | 目的地址 | 对等连接另一端VPC内的地址，可以为VPC网段、子网网段、ECS IP地址等。 | 本示例为VPC-B的网段：172.17.0.0/16 | | 下一跳地址 | 系统默认填写当前对等连接，您无需选择。 | peering-AB | | 描述 | 路由的描述信息，非必填项。 描述信息内容不能超过255个字符，且不能包含"\<"和"\>"。 | 本端VPC-A到对端VPC-B的去程路由。 | | 添加另一端VPC的路由 | 勾选该参数，可同时添加对等连接另一端VPC内的回程路由。 通常情况下，您需要在对等连接两端VPC的路由表中分别添加去程和回程路由，才可以实现通信。 | 勾选 | | 虚拟私有云 | 系统默认填写对等连接两端的另一个VPC，您无需选择。 | VPC-B | | 路由表 | **选择VPC的路由表，路由信息将会添加在该路由表中** **。** VPC创建完成后自带一个默认路由表，用来控制VPC内子网出方向的流量走向。除了默认路由表，您还可以创建自定义路由表，并关联至子网，则该子网的出方向流量由自定义路由表控制。 - 如果路由表的下拉列表中只有默认路由表，则选择默认路由表即可。 - 如果路由表的下拉列表中同时存在默认路由表和其他自定义路由表，则选择对等连接连通的子网所关联的路由表。 | rtb-VPC-B（默认路由表） | | 目的地址 | 对等连接另一端VPC内的地址，可以为VPC网段、子网网段、ECS IP地址等。 | 本示例为VPC-A的网段：172.16.0.0/16 | | 下一跳地址 | 系统默认选择当前对等连接，无需选择。 | peering-AB | | 描述 | 路由的描述信息，非必填项。 描述信息内容不能超过255个字符，且不能包含"\<"和"\>"。 | 对端VPC-B到本端VPC-A的回程路由。 | 3. 路由信息设置完成后，单击"确定"，返回路由列表，可以看到刚添加的路由。 4. 继续单击"添加路由"，在VPC路由表中添加**集群容器网段** 的路由，配置样例如[表4]所示。 图5添加集群容器网段的路由 ![](https://support.huaweicloud.com/bestpractice-cce/zh-cn_image_0000002478167466.png "点击放大") 表4添加集群容器网段的路由 | 参数 | 取值样例 | |:---|:---| | 虚拟私有云 | VPC-A | | 路由表 | rtb-VPC-A（默认路由表） | | 目的地址 | 本示例中集群容器网段为10.0.0.0/16 | | 下一跳地址 | peering-AB | | 描述 | 本端VPC-A到对端VPC-B的去程路由。 | | 添加另一端VPC的路由 | 勾选 | | 虚拟私有云 | VPC-B | | 路由表 | rtb-VPC-B（默认路由表） | | 目的地址 | 本示例中集群容器网段为10.0.0.0/16 | | 下一跳地址 | peering-AB | | 描述 | 对端VPC-B到本端VPC-A的回程路由。 | 5. 路由信息设置完成后，单击"确定"。 #### 后续操作 如果涉及集群跨VPC访问其他服务的场景，**您还需要关注所访问的云服务是否允许VPC外部访问**，如部分服务可能需要添加白名单或放通安全组才允许访问。对于VPC网络模型的集群，您还需要额外放通容器网段。 以VPC网络模型的集群访问另一VPC下的ECS为例，您需要在ECS的安全组中放通集群所在VPC网段以及容器网段，才可以保证集群中的节点和容器均能正常访问ECS。