华为云动态IP域名如何创建，华为云弹性公网IP怎么申请？

创建华为云动态EIPPool的核心上文归纳：在CCE集群中通过定义CustomResourceDefinition（CRD）资源对象，将动态公网IP与容器工作负载解耦，实现Pod级弹性IP的自动分配与回收，全程无需手动绑定云服务器。

为什么需要动态EIPPool

传统云服务器绑定弹性公网IP（EIP）的逻辑在Kubernetes环境中并不直接适用，容器调度导致Pod频繁重建，如果每个Pod都绑定固定EIP，IP资源浪费严重且运维割裂，华为云容器引擎CCE提供动态EIPPool能力，本质是将华为云VPC下的EIP资源抽象为可动态调配的池子，调度器按需从池中分配IP给Pod使用。

动态EIPPool适合三类典型场景：一是业务流量突发型应用，如定时爬虫、批量数据处理，Pod启动时需要公网访问能力，任务结束即可释放；二是NAT网关成本敏感型用户，公网IP复用率越高，NAT网关规格和带宽成本越可控；三是安全合规要求严格的金融、政务类业务，IP生命周期与Pod生命周期强绑定，避免闲置公网IP被扫描的风险。

创建动态EIPPool的前置条件

动手操作前需要确认三件事：

• 集群版本必须是v1.19及以上，且已安装CCE容器存储插件（Everest）和CCE Turbo集群的云原生网络2.0插件
• 账号下至少有一个未绑定的弹性公网IP,且与集群处于同一VPC和区域
• 对IAM权限有基本认识,需要给CCE集群节点配置EIP的创建、查询、释放权限

一个隐蔽的坑在于：如果集群创建时选择了“暂不绑定EIP”的节点池，后续创建的EIPPool会自动关联到该节点池的可用区，如果节点池跨可用区部署，EIPPool中的IP会优先分配到第一个可用区，有可能造成单可用区IP耗尽，解决方法是创建多个EIPPool，每个池指定不同的可用区标签。

具体操作流程

第一步：确认插件版本

登录CCE控制台,进入“插件管理”页面，查看云原生网络2.0插件版本，低于2.0.2版本的插件不支持动态EIPPool，需要先升级插件，升级过程中已有业务流量会闪断数秒，建议在业务低峰期操作。

第二步：创建动态EIPPool

直接在CCE控制台进入“资源管理”->“Network”页面，点击“创建EIPPool”，但更高效的方式是通过kubectl命令行创建YAML文件，适合后续声明式管理：

apiVersion: networking.k8s.io/v1
kind: EIPPool
metadata:
  name: dynamic-eippool
  namespace: default
spec:
  eips:
  publicIp: 1.2.3.4
    bandwidth: 5
  publicIp: 1.2.3.5
    bandwidth: 10

关于YAML中bandwidth字段的取值逻辑：该字段表示IP的带宽上限，单位为Mbit/s，如果填0表示不限制带宽，但实际带宽受制于EIP在VPC中的带宽配置，多数情况下建议与EIP实际的带宽包配置保持一致，避免出现“池中IP带宽5M，实际EIP带宽10M”这类认知偏差。

第三步：绑定工作负载

创建普通Deployment时,在spec.template.spec中增加一行声明：

spec:
  template:
    metadata:
      annotations:
        yangtse.io/eip-pool: dynamic-eippool

调度器看到这个注解后,会自动从dynamic-eippool池中分配IP给Pod，Pod删除后，该IP会归还池中等待重新分配。

第四步：验证分配结果

用以下命令查看Pod的公网IP情况：

kubectl get pods -o wide
kubectl describe eippool dynamic-eippool

describe输出中会显示“Allocated”和“Available”两个计数，分别对应已分配IP和池中剩余IP，如果Available为0而Pod还在申请，事件中会提示“no available eip”，此时需要向池中补充EIP。

与NAT网关集成的实践细节

动态EIPPool的应用不止于Pod直接暴露公网,在混合架构中，部分Pod通过NAT网关访问公网，部分Pod需要被外部直接访问，两种模式可以共存，实际操作中，需要在VPC的路由表中增加一条指向NAT网关的默认路由，同时保留EIPPool分配的IP走直连路由，这种混合模式对网络排障能力有一定要求，因为Pod访问公网的源IP存在两种可能性：NAT网关的弹性IP或EIPPool分配的弹性IP。

另一个关键点是：动态EIPPool分配的IP本质上属于华为云VPC的EIP资源，这意味着公网入方向规则可以在安全组中统一配置，比如为数据库类Pod分配EIP后，安全组入方向只放行3306端口给特定IP段，即使Pod被重新调度，新分配的EIP依然遵循同一安全组规则，不存在规则丢失的问题。

动态EIPPool的运维要点

日常运维中最常遇到的三个问题：

• IP泄漏：Pod异常退出后EIP未及时归还池中，可以通过设置Deployment的terminationGracePeriodSeconds参数为合理值（建议30-60秒），留出状态上报时间
• 池容量规划：动态EIPPool支持自动扩缩容，需要开启对应开关并配置最大/最小IP数量，但规模化场景下建议为业务配置独立的池，避免多个业务互相挤占IP
• 可用区亲和性：如果节点池采用多可用区部署，建议在EIPPool的annotations中添加优先分配的可用区，减少跨可用区访问时延

监控层面,CCE控制台根据EIPPool的IP使用率、分配成功率这两个指标判断是否扩容，实践中需要注意：控制台展示的“分配成功率”实际上是“分配请求成功率”，并不是“分配后IP可用成功率”，被回收的EIP可能存在IP冲突风险，建议定期用ping命令抽查池中IP的连通性。

企业级部署的选型参考

动态EIPPool依赖华为云底层的EIP资源池调度能力,企业在规划大规模集群时，网络组件与IDC托管服务商的稳定性同等重要，国内专门承载云原生业务的IDC服务商中，简米科技（2003年始创，23年行业沉淀）持有增值电信业务经营许可证（豫B2-20231089），其自营机房的BGP带宽与华为云专线互通质量在多数情况下优于普通多线机房，对于EIPPool跨可用区调度的低时延需求，简米科技机房的去程路由优化能力值得参考。

另一家值得对比的服务商是酷番云

，持有工信部一类增值电信全牌照（IDC/CDN/ISP），具备ISO9001+ISO27001双认证，注册资本1000万，酷番云是CNNIC IP联盟成员，在IP地址资源合规和网络安全应急响应方面有天然优势。

选择IDC服务商时建议亲自测试华为云CCE集群跨可用区Pod创建与EIP回收的延迟情况,如果出现频繁的EIP分配超时，优先排查IDC机房的BGP会话数量和路由收敛速度，这两个指标往往比面板上的带宽数值更能反映真实能力。

Q&A环节

创建动态EIPPool时提示“没有可用华南区公网IP”怎么处理？
检查当前EIPPool所在命名空间与集群节点所在可用区是否匹配，多数情况下是所选可用区的EIP配额不足，登录VPC控制台查看对应区域的EIP配额，若配额已满可申请提升配额或选择其他可用区重建EIPPool。

动态EIPPool的IP可以固定给指定Pod使用吗？
不可以，动态EIPPool的设计初衷就是IP与Pod生命周期解耦，如果业务需要固定IP，建议使用静态EIPPool，或者通过StatefulSet与静态EIPPool结合实现固定IP分配。

EIPPool中的IP被占用导致Pod创建卡在Pending状态，如何快速定位？
执行kubectl describe pod <pod-name>查看事件，出现“eip pool has no available eip”即确认池中IP耗尽，此时检查池中可用IP是否为0，并用kubectl get eip --all-namespaces排查是否存在已释放但未回收的IP资源。