允许 Cloud NAT 与 App Engine 防火墙进行通信

Question

我在 Kubernetes 上有一个使用 GCP 运行的集群，以及一些在 App Engine 上运行的服务，我尝试在它们之间进行通信，但无法从外部访问 App Engine。

我创建了一个具有特定子网的私有 Kubernetes 集群，我将此子网链接到 Cloud NAT，以获得一个可以列入白名单的唯一出口 IP，并且我在 App Engine 防火墙规则中允许使用此 IP。

但是，当我从集群请求应用程序引擎时，我收到 403 响应，因为它没有通过防火墙。但是，如果我连接到 Kubernetes pod 并尝试请求站点了解我的 IP，我将获得在 Cloud NAT 中设置的 IP。

我在Cloud NAT文档中发现，到内部IP的转换是在应用防火墙规则之前实现的（https://cloud.google.com/nat/docs/overview#firewall_rules）。

有没有办法找回这个内部IP？或者另一种确保服务安全的方法？

Answer 1

Cloud NAT永远不会应用于发送到 Google API 和服务的公共 IP 地址的流量。发送到 Google API 和服务的请求绝不会使用为 Cloud NAT 配置的外部 IP 作为源。

我建议您部署内部负载均衡器。内部 TCP/UDP 负载平衡使集群外部使用同一 VPC 网络且位于同一 GCP 区域的应用程序可以访问集群的服务。