通过 Cloud Identity-Aware 代理连接失败

Question

我在 GCP Jupiter 笔记本中遇到以下断开连接问题。

错误代码：4010 和错误代码：1006

你能建议一些解决方案吗？

Answer 1

作为 IAP 配置步骤的一部分，您应该创建一条防火墙规则，允许从 IAP 地址范围到 SSH 端口的入口流量：

GCP Console => VPC network => Firewall rules => Create Firewall Rule
  Name:     allow-ingress-from-iap
  Direction of traffic:     Ingress
  Target:   All instances in the network 
  Source filter:    IP ranges 
  Source IP ranges:     35.235.240.0/20 
  Protocols and ports:  select TCP and enter 22 to allow SSH

身份感知代理 > 文档 > 为 Compute Engine 设置 IAP

通过 IAP 与仅具有内部 IP 的虚拟机进行 SSH 会话 1 小时不活动后，GCP 控制台 UI 中会出现错误 1006，这是 Google 端的会话超时。

Answer 2

正如@mebius99所提到的，IAP（身份识别代理）请求来自IP地址范围35.235.240.0/20。

您的网络防火墙必须允许这些请求能够通过 IAP 进行 SSH。

一种方法（创建防火墙规则）是运行gcloud compute firewall-rules create命令。

为此，首先在 Google 云控制台上打开 Cloud shell，

然后，云 shell 打开后，运行以下命令：

gcloud compute firewall-rules create ssh-ingress-from-iap --allow=tcp:22 --source-ranges 35.235.240.0/20 --network [network-name]

替换[network-name]为您的网络名称（默认 VPC 网络名为default：）

如果上述解决方案不起作用（或者已经设置了类似的防火墙规则），请考虑检查网络标记（在防火墙规则和虚拟机上）。可能的情况是，您的防火墙规则仅允许对具有某些标签的某些实例发出请求，而您尝试通过 SSH 访问的实例则不允许。