Pod访问不同VPC网络的云服务

假设集群VPC为vpc-demo1，网段为192.168.0.0/16。若集群容器网络模型为VPC网络，则假设其容器网段为172.1.1.0/24，下面介绍实现跨VPC访问的具体步骤。

1. 购买ECS，具体请参见自定义购买ECS。该ECS与集群处于同一区域、不同VPC内，VPC名称为vpc-demo2，网段为10.0.0.0/16，且ECS的IP地址为10.1.1.24。
2. 创建VPC对等连接。
   1. 进入控制台，单击左上角的，在展开的列表中单击“网络 > 虚拟私有云”。
   2. 在左侧列表单击“对等连接”，在新页面右上角区域，单击“创建对等连接”。
   3. 根据界面提示设置对等连接参数，部分参数说明请参见表2。
      图1 创建对等连接
      

      表2 创建对等连接参数说明

      参数	说明	示例
      对等连接名称	必选参数。 此处填写对等连接的名称。 由中文字符、英文字母、数字、中划线和下划线等构成，一般不超过64个字符。	peering-demo
      本端VPC	必选参数。 此处为对等连接一端的VPC，可以在下拉框中选择已有VPC作为本端VPC。	vpc-demo1
      本端VPC网段	此处显示已选择的本端VPC的网段。	192.168.0.0/16
      账户	必选参数。 当前账户：当对等连接中的对端VPC和本端VPC位于同一个账户下时，选择该项。 其他账户：当对等连接中的对端VPC和本端VPC位于不同账户下时，选择该项。	当前账户
      对端项目	当账户选择“当前账户”时，系统默认填充对应的项目，无需您额外操作。 比如vpc-demo1和vpc-demo2均为账户A下的资源，并且位于区域A，那么此处系统默认显示账户A下，区域A对应的项目。	-
      对端VPC	当账户选择“当前账户”时，该项为必选参数。 此处为对等连接另外一端的VPC，可以在下拉框中选择已有VPC作为对端VPC。	vpc-demo2
      对端VPC网段	此处显示已选择的对端VPC的网段。 须知： 当您的本端VPC和对端VPC存在网段重叠的情况时，您的对等连接可能不会生效。	10.1.0.0/16

   4. 参数填写完成后，单击“立即创建”。

      弹出路由添加提示对话框，单击“立即添加”。

3. 添加两端VPC路由。根据“添加路由”界面提示，在VPC路由表中添加路由，部分参数说明请参见表3。
   图2 添加两端VPC路由
   

   表3 添加路由参数说明

   参数	说明	示例
   虚拟私有云	选择对等连接两端中的任意一个VPC。	vpc-demo1
   路由表	选择VPC的路由表，路由信息将会添加在该路由表中。 VPC创建完成后自带一个默认路由表，用来控制VPC内子网出方向的流量走向。除了默认路由表，您还可以创建自定义路由表，并关联至子网，则该子网的出方向流量由自定义路由表控制。 如果路由表的下拉列表中只有默认路由表，则选择默认路由表即可。 如果路由表的下拉列表中同时存在默认路由表和其他自定义路由表，则选择对等连接连通的子网所关联的路由表。	rtb-vpc-demo1（默认路由表）
   目的地址	对等连接另一端VPC内的地址，可以为VPC网段、子网网段和ECS IP地址等。	10.1.0.0/16
   下一跳地址	系统默认填写当前对等连接，您无需选择。	peering-demo
   添加另一端VPC的路由	勾选该参数，可同时添加对等连接另一端VPC内的回程路由。 通常情况下，您需要在对等连接两端VPC的路由表中分别添加去程和回程路由，才可以实现通信。	勾选
   虚拟私有云	系统默认填写对等连接两端的另一个VPC，您无需选择。	vpc-demo2
   路由表	选择VPC的路由表，路由信息将会添加在该路由表中。 VPC创建完成后自带一个默认路由表，用来控制VPC内子网出方向的流量走向。除了默认路由表，您还可以创建自定义路由表，并关联至子网，则该子网的出方向流量由自定义路由表控制。 如果路由表的下拉列表中只有默认路由表，则选择默认路由表即可。 如果路由表的下拉列表中同时存在默认路由表和其他自定义路由表，则选择对等连接连通的子网所关联的路由表。	rtb-vpc-demo2（默认路由表）
   目的地址	对等连接另一端VPC内的地址，可以为VPC网段、子网网段和ECS IP地址等。	192.168.0.0/16
   下一跳地址	系统默认选择当前对等连接，无需选择。	peering-demo

4. 添加对端VPC与集群容器网段路由。当前页面单击“添加路由”，在“添加路由”界面中，“虚拟私有云”填入对端VPC，“目的地址”填入集群容器网段，具体请参见图3。
   图3 添加容器网段路由
   

5. 验证配置效果。检查对端被访问服务的安全组“入方向规则”中是否包含本端节点网段和容器网段（仅容器网络模型为VPC网络时需要），若没有请添加相关规则，请参见步骤3 容器网段添加到ECS安全组入方向规则。登录Pod，具体请参见登录容器实例，在Pod的CloudShell界面再次输入以下代码，10.1.1.24表示对端被访问服务的IP地址。

   ping 10.1.1.24

   若回显内容如下，则说明Pod跨VPC访问成功。

   PING 10.1.1.24 (10.1.1.24): 56 data bytes
   64 bytes from 10.1.1.24: seq=0 ttl=64 time=1.412 ms
   64 bytes from 10.1.1.24: seq=1 ttl=64 time=1.400 ms
   64 bytes from 10.1.1.24: seq=2 ttl=64 time=1.299 ms
   64 bytes from 10.1.1.24: seq=3 ttl=64 time=1.283 ms
   --- 10.1.1.24 ping statistics ---
   4 packets transmitted, 4 packets received, 0% packet loss

假设集群VPC为vpc-demo1，网段为192.168.0.0/18和172.1.0.0/24。若集群容器网络模型为VPC网络，则假设其容器网段为172.1.1.0/24，下面介绍实现跨VPC访问的具体步骤。

1. 购买RDS for MySQL实例，具体请参见购买RDS for MySQL实例。该实例与集群处于同一区域、不同一VPC内，VPC为vpc-373896-1，网段为172.16.0.0/12，且IP地址为172.16.0.167。
2. 创建VPC对等连接。
   1. 进入控制台，单击左上角的，在展开的列表中单击“网络 > 虚拟私有云”。
   2. 在左侧列表单击“对等连接”，在新页面右上角区域，单击“创建对等连接”。
   3. 根据界面提示设置对等连接参数，部分参数说明请参见表4。
      图4 创建对等连接
      

      表4 创建对等连接参数说明

      参数	说明	示例
      对等连接名称	必选参数。 此处填写对等连接的名称。 由中文字符、英文字母、数字、中划线和下划线等构成，一般不超过64个字符。	peering-b34b
      本端VPC	必选参数。 此处为对等连接一端的VPC，可以在下拉框中选择已有VPC作为本端VPC。	vpc-373896-1
      本端VPC网段	此处显示已选择的本端VPC的网段。	172.16.0.0/12
      账户	必选参数。 当前账户：当对等连接中的对端VPC和本端VPC位于同一个账户下时，选择该项。 其他账户：当对等连接中的对端VPC和本端VPC位于不同账户下时，选择该项。	当前账户
      对端项目	当账户选择“当前账户”时，系统默认填充对应的项目，无需您额外操作。 比如vpc-demo1和vpc-demo2均为账户A下的资源，并且位于区域A，那么此处系统默认显示账户A下，区域A对应的项目。	-
      对端VPC	当账户选择“当前账户”时，该项为必选参数。 此处为对等连接另外一端的VPC，可以在下拉框中选择已有VPC作为对端VPC。	vpc-demo1
      对端VPC网段	此处显示已选择的对端VPC的网段。 须知： 当您的本端VPC和对端VPC存在网段重叠的情况时，那么您的对等连接可能会不生效。	192.168.0.0/18，172.1.0.0/24

   4. 参数填写完成后，单击“立即创建”。

      弹出路由添加提示对话框，单击“立即添加”。

3. 添加两端VPC路由。根据“添加路由”界面提示，在VPC路由表中添加路由，部分参数说明请参见表5。
   图5 添加两端VPC路由
   

   表5 添加路由参数说明

   参数	说明	示例
   虚拟私有云	选择对等连接两端中的任意一个VPC。	vpc-373896-1
   路由表	选择VPC的路由表，路由信息将会添加在该路由表中。 VPC创建完成后自带一个默认路由表，用来控制VPC内子网出方向的流量走向。除了默认路由表，您还可以创建自定义路由表，并关联至子网，则该子网的出方向流量由自定义路由表控制。 如果路由表的下拉列表中只有默认路由表，则选择默认路由表即可。 如果路由表的下拉列表中同时存在默认路由表和其他自定义路由表，则选择对等连接连通的子网所关联的路由表。	rtb-d43b（自定义路由表） 须知： 自定义路由表需要与对等连接联通的子网相关联。
   目的地址	对等连接另一端VPC内的地址，可以为VPC网段、子网网段和ECS IP地址等。	192.168.0.0/18
   下一跳地址	系统默认填写当前对等连接，您无需选择。	peering-b34b
   添加另一端VPC的路由	勾选该参数，可同时添加对等连接另一端VPC内的回程路由。 通常情况下，您需要在对等连接两端VPC的路由表中分别添加去程和回程路由，才可以实现通信。	勾选
   虚拟私有云	系统默认填写对等连接两端的另一个VPC，您无需选择。	vpc-demo1
   路由表	选择VPC的路由表，路由信息将会添加在该路由表中。 VPC创建完成后自带一个默认路由表，用来控制VPC内子网出方向的流量走向。除了默认路由表，您还可以创建自定义路由表，并关联至子网，则该子网的出方向流量由自定义路由表控制。 如果路由表的下拉列表中只有默认路由表，则选择默认路由表即可。 如果路由表的下拉列表中同时存在默认路由表和其他自定义路由表，则选择对等连接连通的子网所关联的路由表。	rtb-vpc-demo1（默认路由表）
   目的地址	对等连接另一端VPC内的地址，可以为VPC网段、子网网段和ECS IP地址等。	172.16.0.0/12
   下一跳地址	系统默认选择当前对等连接，无需选择。	peering-b34b

4. 添加RDS for MySQL实例所在VPC与集群容器网段的路由。当前页面单击“添加路由”，在“添加路由”界面中，“虚拟私有云”填入vpc-373896-1，“目的地址”填入容器网段，具体请参见图6。
   图6 添加容器网段路由
   

5. 验证配置效果。检查RDS for MySQL实例的安全组“入方向规则”中是否包含集群节点网段和容器网段（容器网段仅当容器网络模型为VPC网络时需要），若没有请添加相关规则，请参见步骤3 容器网段添加到被访问服务安全组入方向规则。登录Pod，具体请参见登录容器实例，在Pod的CloudShell界面再次输入以下代码，172.16.0.167表示被访问服务的IP地址。

   ping 172.16.0.167

   若回显内容如下，则说明Pod跨VPC访问成功。

   PING 172.16.0.167 (172.16.0.167) 56(84) bytes of data.
   64 bytes from 172.16.0.167: icmp_seq=1 ttl=63 time=0.516 ms
   64 bytes from 172.16.0.167: icmp_seq=2 ttl=63 time=0.418 ms
   64 bytes from 172.16.0.167: icmp_seq=3 ttl=63 time=0.376 ms
   --- 172.16.0.167 ping statistics ---
   3 packets transmitted, 3 received, 0% packet loss, time 1001ms