#Underlay 和 Overlay 子网的自动互联

如果一个集群同时具有 Underlay 和 Overlay 子网，默认情况下，Overlay 子网中的 Pods 可以通过使用 NAT 的网关访问 Underlay 子网中 Pods 的 IP。但是，Underlay 子网中的 Pods 需要配置节点路由才能访问 Overlay 子网中的 Pods。

要实现 Underlay 和 Overlay 子网之间的自动互联，可以手动修改 Underlay 子网的 YAML 文件。配置完成后，Kube-OVN 还会使用一个额外的 Underlay IP 来连接 Underlay 子网和 ovn-cluster 逻辑路由器，并设置相应的路由规则以实现互联。

#操作步骤

1. 进入 Administrator。

2. 在左侧导航栏中，点击 Cluster Management > Resource Management。

3. 输入 Subnet 以筛选资源对象。

4. 点击要修改的 Underlay 子网旁边的 ⋮ > Update。

5. 修改 YAML 文件，在 Spec 中添加字段 u2oInterconnection: true。

6. 点击 Update。

注意：Underlay 子网中现有的计算组件需要重新创建后，更改才会生效。

#可选：将 U2O 路由限制为 Overlay CIDR

如果只想将目的地址为 Overlay 子网 CIDR 的流量通过 U2O 网关路由，请在同一个 Underlay 子网上启用 u2oFeatures.overlayOnlyRouting。到其他目的地的流量仍将继续使用物理网关。

spec:
  u2oInterconnection: true
  u2oFeatures:
    overlayOnlyRouting: true

此选项要求设置 u2oInterconnection: true。

#启用 u2oInterconnection 后 Underlay 子网之间的隔离

当多个 Underlay 子网都启用 u2oInterconnection: true 时，它们之间的流量不再经过物理网关，而是通过内部 OVN 网络直接路由。

如果需要在两个都启用了 u2oInterconnection 的 Underlay 子网之间进行隔离，必须先配置 kube-ovn-controller 参数，然后再配置子网隔离。

#步骤 1：配置 kube-ovn-controller

修改 kube-ovn-controller Deployment，以禁用对目标逻辑端口 IP 的连接跟踪跳过：

kubectl edit deployment kube-ovn-controller -n kube-system

添加或修改以下参数：

spec:
  template:
    spec:
      containers:
      - name: kube-ovn-controller
        args:
        - --ls-ct-skip-dst-lport-ips=false

#步骤 2：配置子网隔离

使用以下参数配置子网：

spec:
  u2oInterconnection: true
  acls:
  - action: drop
    direction: to-lport  # Ingress direction (traffic entering the logical port)
    match: ip4.src == 172.20.0.0/16
    priority: 1002
  - action: drop
    direction: to-lport  # Ingress direction
    match: ip4.src == 192.50.0.0/16
    priority: 1002

ACL 参数：