Google App Engine通过内部网络与Compute Engine进行通信

Question

我们正在谷歌云中构建一个应用程序.我们使用App Engine作为前端,使用Compute Engine作为后端.在这些Compute Engine实例上,我正在运行一个接受某些"命令"消息的TCP服务器.计算引擎实例还连接到防火墙后面的互联网和负载均衡器,用于传入https流量.我想将TCP服务器绑定到本地IP地址,并且只允许App Engine实例(它们在同一个项目中)通过套接字api连接到TCP"命令"端口.

目前我们仅限制与Google Ip的传入连接

该Compute Engine的文档最高审计机关如下:

每个实例都是单个网络的成员.网络执行的功能与路由器在家庭网络中执行的功能相同:它描述网络范围和网关IP地址,处理实例之间的通信,并充当网络外实例和呼叫者之间的网关.网络仅限于单个项目; 它无法跨越项目.不同网络中的实例之间的任何通信,即使在同一项目中,也必须通过外部IP地址.在API中,网络由网络对象表示.

是否可以建立安全的通信设置？也许有App Engine后端实例？

Answer 1

使用App Engine Flexible,您可以设置instance_tags并使用它来创建具有适当标记规则的防火墙规则.有关详细信息,请参阅https://cloud.google.com/appengine/docs/flexible/custom-runtimes/configuring-your-app-with-app-yaml.

Answer 2

目前没有办法在GCE和GAE之间建立专用网络.限制到谷歌的IP范围是不安全的,因为GAE或GCE上的任何人都可以连接到您的服务器.因此,我建议您对TCP服务器上的传入连接进行身份验证,以验证连接是否来自GAE实例.