W projekcie VPC peeringu typu hub-and-spoke, prywatna płaszczyzna sterowania GKE w jednym ze spoke'ów ma autoryzowane sieci ustawione na podsieć węzłów, ale płaszczyzna sterowania jest nieosiągalna z innych spoke'ów. Jak zezwolić na dostęp z innych spoke'ów?

Prawidłowa odpowiedź to wdrożenie proxy. Prywatna płaszczyzna sterowania GKE jest domyślnie dostępna tylko z sieci węzłów klastra i autoryzowanych sieci, które muszą być bezpośrednio połączone z siecią VPC hostującą klaster. Peering VPC nie jest tranzytywny, co oznacza, że sieci spoke nie widzą się nawzajem poprzez hub. Aby umożliwić dostęp do prywatnej płaszczyzny sterowania GKE z innych spoke'ów, należy wdrożyć proxy w spoke'u, w którym znajduje się klaster GKE. Proxy będzie pośredniczyć w połączeniach, umożliwiając dostęp z innych spoke'ów. Dodanie reguły zapory sieciowej nie zadziała, ponieważ ruch nie będzie routowany do płaszczyzny sterowania GKE z powodu braku tranzytywności peeringu. Włączenie Private Google Access jest przeznaczone dla zasobów w VPC, które potrzebują dostępu do usług Google, a nie dla dostępu między peered VPC. Konfiguracja autoryzowanych sieci tak, aby obejmowały zakresy podsieci innych projektów spoke, również nie zadziała, ponieważ peering VPC nie jest tranzytywny, a płaszczyzna sterowania nie będzie w stanie routować ruchu do tych sieci.