分配给 GKE 集群中节点的临时 IP 的网络成本

Question

当我创建 GKE 集群时，我看到节点被分配了临时公共 IP。我了解分配和使用 IP 是免费的。

但是，如果这些 IP 从外部受到攻击，是否会产生某种网络成本？当 GKE 创建这些集群时，我猜这些 IP 默认情况下被防火墙规则禁止公开访问？

谢谢

Answer 1

当我创建 GKE 集群时，我看到节点被分配了临时公共 IP。我了解分配和使用 IP 是免费的。

IP 地址没有额外费用。当一个地址被虚拟机（在本例中是 GKE 集群中的一个节点）使用时，您需要支付虚拟机的费用。

但是，如果这些 IP 从外部受到攻击，是否会产生某种网络成本？

根据 GCP 的 network pricing documentation，入口（互联网 -> 您的 GKE 节点）是免费的，您只需为出口付费。因此，如果流量到达您的 IP 地址而您没有响应，则无需支付任何费用。如果您响应流量，则按标准出口（您的 GKE 节点 -> 互联网）费率收费。

当 GKE 创建这些集群时，我猜这些 IP 在默认情况下被防火墙规则禁止公开访问？

默认防火墙规则允许来自 Internet 的一些流量到达您的节点（根据我在新项目中的判断，RDP、SSH 和 ICMP）。如果任何流量到达您节点上的这些端口，您将需要为相应的出口流量付费。您可以删除这些规则以阻止该流量，以确保您不会收取出口费用，如果您确实希望允许出口其他类型的流量，那么您将需要打开防火墙规则以允许它出去（或在您的集群中公开一个服务，以便 Kubernetes 控制平面代表您戳一个洞）。