从外部 ssh 到 k8s 的 pod 里面

[HugeNature]

求教大佬，从外部 ssh 到 k8s 的 pod 里面，有什么方案么？

[HugeNature]

@killva4624 还是裸的 ssh 的适用性更强，比如 terminal ssh ，用户用 vscode 连接 pod 等等

[HugeNature]

@buffzty node 上安装 wg 的话，外面 ssh 最多到 host 上吧？进不到 pod 里应该

[HugeNature]

@defunct9 需求就是要可以 ssh ，咱也没办法，只能想办法去实现

[buffzty]

@HugeNature 我都跟你说了集群全互通 我都用了几年了

[Frankcox]

client-go tool 下有 remotecommand ，你可以用 Go+前端 webshell 包装一下，实现类似于 ssh 的效果。

[hicdn]

@HugeNature 那就在 pod 里跑一个完整系统，把 ssh 端口转发出来

[HugeNature]

@buffzty 额，大佬可以解释下“集群全互通”么？ 不是很理解这个概念。谢谢啦。

[HugeNature]

@Frankcox 希望的是原生的 ssh ，用户可以用任何方式 ssh ，terminal ，vscode ，或者其他的 GUI 工具。

[HugeNature]

@hicdn 那太重了，可以安装 sshserver ，开端口转发

[xuzhzzz]

简单的方法就是部署一个 xxx 容器管理平台，里面 terminal 登录 pod 是很常见的功能

[kindom]

K8S site: kubeflow -> codeserver
Client site: VScode -> k8s plugin -> kubeflow

[buffzty]

node1 ip 172.10.0.1 ,pod ip 10.80.1.0/24
node2 ip 172.10.0.2 ,pod ip 10.80.2.0/24
node3 ip 172.10.0.3 ,pod ip 10.80.3.0/24
client 连接 wg 到任意一个你设置的 node （ wg 转发节点）
此时 client 可以访问上面的所有 ip 也可以用集群 dns 比如 mysql.default.svc.cluster.local
需要通几个 node 就在那几个 node 上开 wg
如果 node2 开了 wg node3 没开 那么 10.80.3.0/24 这个网段你访问不了

[kenvix]

@julyclyde 那你得去跟 H3C 他们讲🤣这套系统带着机器一套卖几千万

[aleimu]

这个还真可以的,就是镜像里需要启动 sshd 服务,并且 pod 要开 22 端口,密码的话随机生成或固定,这样方便开发者自己通过堡垒机登录定位问题, kubectl exec -it pod bash 只能运维人员用用, webshell 的话不好对接堡垒机还依赖浏览器环境

[Kinnice]

集群：
1. pod 里面需要开 ssh-server ，cluster IP 即可
2. 然后再任意 node ，部署[可以物理机直接部署或容器部署] openvpn/wireguard 暴露出 nodePort ，配置好到 clusterIP 段的路由和 dns
eg: https://github.com/helm/charts/tree/master/stable/openvpn
使用者：
1. 连接 openvpn/wireguerd
2. 使用 pod-ip/name 直接 ssh 即可

[anubu]

一直在 autodl 租 GPU ，容器实例就是在容器里部署 sshd 端口映射到公网，当做一个虚拟机使用。所以你这里容器部署 sshd ，nodeport 批量暴露出来应该是没有问题的。虽然不符合所谓的最佳实践，但业务上的东西一般都是各种情况的 trade-off ，不能强制追求完美。autodl 也算正经商业化的业务，举例是说明这样实现肯定不能说是很差的选择。

[Kinnice]

@Kinnice #35 还有一种就是使用者配置好 kubectl 然后通过 port-forward 把 pod 内部 ssh 端口映射到本地
https://kubernetes.io/docs/tasks/access-application-cluster/port-forward-access-application-cluster/

[chronos]

如果是自己人用，简单点就 kubectl port-forward 将 pod 的 sshd 端口映射到本地。

如果是开放到外部使用，可以考虑使用 frp ，先部署一个 frps 并开放端口用于转发流量，然后每个 sshd 的 pod 启动时里面再启动一个 frpc 连接 frps ，使用 stcp 模式，配置文件中的 name 和 secretKey 要输出给用户。用户侧 frpc 使用 stcp 连接 frps ，secretKey 要相同。这样就可以将 sshd 的端口映射到本地，然后本地的 vscode 之类的工具就可以使用映射过来的本地端口连接。

stcp 的配置参考： https://gofrp.org/zh-cn/docs/examples/stcp/

[nilai]

1. node port 方式
2.大二层方案，calico 支持
3. 最简单的，更改外部连接机器的路由表，

[HugeNature]

@nilai 2.大二层方案，calico 支持 这个方案可以介绍下么？谢啦