#Underlay 和 Overlay 子网的自动互联

如果一个集群同时具有 Underlay 和 Overlay 子网，默认情况下，Overlay 子网中的 Pod 可以通过使用 NAT 的网关访问 Underlay 子网中 Pod 的 IP。但是，Underlay 子网中的 Pod 需要配置节点路由才能访问 Overlay 子网中的 Pod。

要实现 Underlay 和 Overlay 子网之间的自动互联，可以手动修改 Underlay 子网的 YAML 文件。配置完成后，Kube-OVN 还会使用一个额外的 Underlay IP 连接 Underlay 子网和 ovn-cluster 逻辑路由器，并设置相应的路由规则以实现互联。

#操作步骤

1. 进入 管理员。

2. 在左侧导航栏中，点击 集群管理 > 资源管理。

3. 输入 Subnet 以过滤资源对象。

4. 点击待修改的 Underlay 子网旁边的 ⋮ > 更新。

5. 修改 YAML 文件，在 Spec 中添加字段 u2oInterconnection: true。

6. 点击 更新。

注意：Underlay 子网中现有的计算组件需要重新创建后，变更才会生效。

#可选：将 U2O 路由限制为 Overlay CIDR

如果只想让目标地址属于 Overlay 子网 CIDR 的流量通过 U2O 网关路由，可以在同一个 Underlay 子网上启用 u2oFeatures.overlayOnlyRouting。发往其他目的地的流量仍将继续使用物理网关。

spec:
  u2oInterconnection: true
  u2oFeatures:
    overlayOnlyRouting: true

此选项要求启用 u2oInterconnection: true。

#启用 u2oInterconnection 后的 Underlay 子网隔离

当多个 Underlay 子网都启用了 u2oInterconnection: true 时，它们之间的流量将不再经过物理网关，而是直接通过内部 OVN 网络路由。

如果你需要在两个都启用了 u2oInterconnection 的 Underlay 子网之间进行隔离，则必须先配置 kube-ovn-controller 参数，然后再配置子网隔离。

#第 1 步：配置 kube-ovn-controller

修改 kube-ovn-controller Deployment，以禁用对目标逻辑端口 IP 的 connection tracking 跳过：

kubectl edit deployment kube-ovn-controller -n kube-system

添加或修改以下参数：

spec:
  template:
    spec:
      containers:
      - name: kube-ovn-controller
        args:
        - --ls-ct-skip-dst-lport-ips=false

#第 2 步：配置子网隔离

使用以下参数配置子网：

spec:
  u2oInterconnection: true
  acls:
  - action: drop
    direction: to-lport  # Ingress direction (traffic entering the logical port)
    match: ip4.src == 172.20.0.0/16
    priority: 1002
  - action: drop
    direction: to-lport  # Ingress direction
    match: ip4.src == 192.50.0.0/16
    priority: 1002

ACL 参数：