Sử dụng tiện ích bổ sung AWS VPC CNI cho EKS, tôi có thể truy cập nhóm trực tiếp qua địa chỉ ip vpc qua vpn không?

Câu hỏi chung của tôi là trong tiêu đề. Tôi cảm thấy như mình đã hiểu nhầm cách kết nối các nhóm với VPC. Tôi đã cho rằng điều này sẽ làm cho các nhóm có thể định tuyến được trên vpc nhưng có vẻ như đây không phải là trường hợp.

Lưu lượng truy cập có cần phải đi qua các nút eks không?

Đây là cấu hình vpc hiện tại của tôi:

Hub VPC -- peered to -- Prod VPC

Máy chủ vpn của tôi nằm trong Hub VPC và eks đang chạy trong Prod VPC.

Tôi có thể ssh vào các nút EKS thông qua vpn để định tuyến giữa vpc và qua vpn đều ổn.

Tôi không thể ping nhóm từ máy chủ vpn.

Tôi có thể ping nhóm từ nút eks.

Tôi có thể ping nhóm từ một phiên bản mới được khởi động trong Prod VPC.

Tôi đã bật plugin aws vpc-cni qua bảng điều khiển.

Tôi có kích hoạt SNAT bên ngoài qua

kubectl set env daemonset -n kube-system aws-node AWS_VPC_K8S_CNI_EXTERNALSNAT=true

Tôi chưa khởi động lại bất kỳ nút nào vì tài liệu dường như yêu cầu điều đó.

Tôi thực sự nghĩ rằng nó sử dụng plugin vpc-cni theo mặc định.

Tôi đang chạy k8s 1.21 và vpc-cni 1.9.3

Điều này thực sự hoạt động chính xác như tôi mong đợi và tôi có thể truy cập các nhóm trực tiếp thông qua kết nối vpn. Điều này hóa ra là một quy tắc nhóm bảo mật chặn quyền truy cập vào cổng mà tôi đang cố sử dụng để kết nối với nhóm.