提升 EKS 集群网络安全：Pod 自定义网络和 Karpenter 的协同应用
内容提要
本文介绍了基于EKS Pod自定义网络和Karpenter的解决方案，实现特定业务Pod的子网隔离和高性能集群管理。
延伸解读
方案核心：ENIConfig 与 Karpenter 的联动机制
该方案通过 ENIConfig 为不同可用区定义默认和自定义 Pod 子网，并利用 Karpenter NodePool 中的 annotation 将特定 Pod 调度到对应自定义子网。当 Karpenter 根据负载创建新节点时，节点会应用指定的 ENIConfig，从而确保 Pod 获得自定义子网的 IP。这种联动实现了 Pod 级别的网络隔离，同时保持了自动扩缩容的弹性。
网络规划与子网划分的实践要点
文章在新加坡区域三个可用区中规划了 9 个子网，包括 Node 子网、Pod 默认子网和 Pod 自定义子网，并分配了具体的 CIDR 网段。这种多层次的网络结构为不同业务提供了独立的网络环境。实践中需注意为子网和安全组打上 Karpenter 可识别的标签，并通过 EC2NodeClass 的 subnetSelectorTerms 精确控制节点落位。
部署与验证中的关键配置
部署时需修改 Amazon VPC CNI 插件参数以启用自定义网络，并设置 ENI_CONFIG_LABEL_DEF 为 topology.kubernetes.io/zone。测试表明，默认 Deployment 的 Pod 会落入默认子网，而通过 nodeSelector 指定自定义 NodePool 的 Pod 则被分配到自定义子网。这验证了方案的有效性，但需确保 ENIConfig 的命名与 AZ 匹配，避免调度错误。
适用场景与潜在限制
该方案适用于需要对特定业务 Pod 进行子网隔离的场景，例如为外部服务提供 IP 白名单或处理敏感数据。然而，它依赖于 EKS 的自定义网络功能和 Karpenter，可能增加配置复杂性。此外，自定义子网的 IP 范围需提前规划，且 Pod 无法跨子网迁移，因此需评估业务扩展需求。
Q&A
如何在 EKS 中实现 Pod 的网络隔离？
可以通过使用 EKS Pod 自定义网络功能和 Karpenter 实现 Pod 的网络隔离，设计多层次的网络结构，包括 Node 子网、默认 Pod 子网和自定义 Pod 子网。
Karpenter 在 EKS 集群中有什么作用？
Karpenter 是一个自动伸缩工具，可以根据需求自动调整节点数量和规格，以实现高性能和低成本的集群管理。
为什么需要为不同业务划分独立的子网？
为了处理敏感数据和关键业务，用户希望实现更精细的网络隔离，以提高网络安全性。
ENIConfig 在网络配置中起什么作用？
ENIConfig 允许为不同的 Pod 指定不同的网络配置，从而实现灵活的网络管理。
如何测试自定义 Pod 的网络分配情况？
可以通过部署测试脚本，观察自定义 Pod 是否被分配到对应的自定义子网中来验证网络分配情况。
本文提出的解决方案有哪些优势？
该解决方案结合了 EKS 自定义网络和 Karpenter 的能力，提高了系统的安全性和灵活性，支持精细化的网络控制。
