k8s 集群网络问题

[Zoooooberg]

我们有一个 k8s 集群，对 github 访问的网络不稳定，然后同事搞了一台外网的机器想做个代理，去解决 github 拉代码的问题，用的是 clashx 做一个 sidecar container ，当 vpn 用了。

我对网络代理不是特别了解，我觉得这个方案有些作坊，有人知道这种情况有什么开源的解决方案吗？

[defunct9]

能用就行

[Songxwn]

公网出口路由器做分流吧

[mightybruce]

方法一：手动替换地址

#原地址 $ git clone https://github.com/kubernetes/kubernetes.git #改为 $ git clone https://github.com.cnpmjs.org/kubernetes/kubernetes.git #或者 $ git clone https://hub.fastgit.org/kubernetes/kubernetes.git #或者 $ git clone https://gitclone.com/github.com/kubernetes/kubernetes.git


方法二：git clone 配置 proxy ， 每次 git clone 带上 proxy 地址
proxy 填上 http_proxy https_proxy 地址

[lasuar]

用防火墙做导流，到一台专用代理。

[jamel]

不是。
sidecar 难道不是最有选吗？？？？
难不成 换了一个地方 就要动外边的东西？
sidecar 一个配置 yaml 搞定，甚至封装个 helm chart 以后不想用就用吗

[ysicing]

基于 sidecarsets+singbox ，自动注入分流白名单

[Zoooooberg]

@jamel 有道理！

[supty]

最还是做个私仓，把项目所需的东西都放在私仓上，别直接去 github 上拉取.

[ursash]

为啥不直接做网关代理，全局透明，毫无感知，倍感丝滑

[skipper1314]

企业内，还是 DNS+SNIProxy 吧

[corvofeng]

如果只有打包的 pod 需要，sidecar 就挺好的 控制风险只在一个容器里面。 如果你整台机器上所有 pod 都需要，再考虑去机器上建 VPN client 不迟

[wscgogo]

在宿主机的网络层用路由做分流吧，每个 pod 上个 clash 没必要啊

[Zoooooberg]

@ursash 容器网络这块我还不太熟，有啥开源的解决方案吗？

[LoliconInside]

如果只是局部 Pod 有这个需求，sidecar 的做法并不作坊，甚至是最优解。

[ursash]

@Zoooooberg 看你想用 k8s 自己解决还是动 k8s 的宿主机网络，我是觉得把 k8s 宿主机访问 wan 的网络都走代理不就行了么，上面的很多人也提到这样做了

[northbrunv]

wireguard 推荐使用

[guanzhangzhang]

sidecar 是最优解的，写个可以自己写个准入控制，有特定 annotation 的 pod 就加 sidecar