Кластер Kubernetes в отдельных сетях

Я хочу создать кластер Kubernetes на 4 машины. Один из них имеет общедоступный IP-адрес и доступен из Интернета (назовем это Master). Мастеру также назначено доменное имя (скажем, это master.foo).

Три машины находятся в одной частной сети (192.168.5.0) за маршрутизатором (назовем их Worker A/B/C).

Я успешно установил кластер между этими машинами:

$ kubectl get nodes

NAME           STATUS   ROLES    AGE     VERSION
Master       Ready    master   5d20h   v1.17.1
WorkerA      Ready    <none>   21h     v1.17.1
WorkerB      Ready    <none>   21h     v1.17.1
WorkerC      Ready    <none>   5d17h   v1.17.1

У меня также есть поды, работающие на разных воркерах без ошибок.

Я инициализировал свой кластер:

sudo kubeadm init --control-plane-endpoint=master.foo --pod-network-cidr=10.244.0.0/16

(Использование Flannel в качестве оверлейной сети.)

Проблема в том, что бег kubectl exec или kubectl port-forward на мастере приводит к ошибке:

paulb@galaxy:~$ kubectl -n pgo port-forward svc/postgres-operator 8443:8443 
error: error upgrading connection: error dialing backend: dial tcp 192.168.5.192:10250: i/o timeout

куда 192.168.5.192 это, конечно, частный IP одного из сотрудников. Я думаю, это связано с тем, что здесь сказано: https://kubernetes.io/docs/concepts/cluster-administration/networking/#the-kubernetes-network-model

pods on a node can communicate with all pods on all nodes without NAT

Итак, следует ли мне настроить сеть OpenVPN между всеми этими машинами? Если да, то как бы мне совместить kubeadm init --control-plane-endpoint с тем, что я люблю кубернетов, выходящих на OpenVPN tun0 адаптер? Я что-то пропустил? Кажется странным, что на воркерах работают контейнеры, но я не могу выполнять команды (kubectl exec) на них от мастера.