허브-스포크 VPC 피어링 설계에서, 한 스포크의 비공개 GKE 컨트롤 플레인에 노드 서브넷으로 승인된 네트워크가 설정되어 있지만, 다른 스포크에서 컨트롤 플레인에 연결할 수 없습니다. 다른 스포크에서 액세스를 허용하려면 어떻게 해야 합니까?

허브-스포크 VPC 피어링 환경에서 GKE 비공개 클러스터의 컨트롤 플레인에 다른 스포크에서 접근하려면 프록시를 사용하는 것이 가장 적절한 방법입니다. GKE 비공개 클러스터의 컨트롤 플레인은 기본적으로 승인된 네트워크(Authorized Networks) 목록에 있는 IP 범위에서만 접근을 허용합니다. VPC 피어링은 전이적(transitive)이지 않으므로, 한 스포크에서 허브를 통해 다른 스포크로 직접 통신할 수 없습니다. 따라서 다른 스포크의 네트워크를 승인된 네트워크에 추가하더라도 직접적인 연결은 불가능합니다. 프록시를 배포하면, 해당 프록시가 컨트롤 플레인과 동일한 스포크에 위치하여 승인된 네트워크 규칙을 만족시키고, 다른 스포크의 트래픽을 컨트롤 플레인으로 중계할 수 있습니다. 방화벽 규칙 추가는 승인된 네트워크 제약을 우회하지 못하며, Private Google Access는 컨트롤 플레인 접근과는 무관합니다. 승인된 네트워크 구성은 직접적인 연결 문제를 해결하지 못합니다.