Google app engine 谷歌应用引擎防火墙：限制除默认服务外的所有服务的访问

我有一个GAE项目（灵活），包括1个默认和2个子服务：

• foo.appspot.com

• service1.foo.appspot.com

• service2.foo.appspot.com

现在我想使用

foo.appspot.com

作为内部服务

service1

和

service2

的API代理和身份验证网关。代理本身就是我写的，它工作得很好

我正在努力调整GAE防火墙，以禁止进入

service1

和

service2

的全球流量，因为我想强制API用户向

foo.appspot.com

发送请求。应该允许到默认服务

foo

的流量

似乎我只能在防火墙设置中输入IPs，但不能输入服务名称。文件说它应该可以工作，但没有说明如何工作

---

谢谢你的帮助

App engine Flex环境构建在上，因此，它支持虚拟私有云网络系统。

---

使用VPC网络，您可以配置将使用实例标记来确定防火墙规则中的目标或源组件。因此，您只需配置目标服务/版本的app.yaml文件，即可使用适当的

太好了！我还可以在Google App Engine防火墙UI中使用实例标记吗？它似乎只接受IP范围？App Engine Firewall是VPC防火墙的精简版本，不幸的是，它不支持按实例筛选标记。应用程序引擎防火墙上只能使用IP范围。这个博客更详细地解释了应用引擎防火墙。有人真的做到了吗？UI建议对AppEngine实例应用VPC防火墙规则，但是流量没有被过滤。是的，但是VPC规则的优先级应该低于1000，否则不考虑。看，直到今天，我还没把这件事做好。我在我的

app.yaml

文件中添加了

network

instance\u标记：一些标记

，但该标记似乎甚至没有应用于实例，这解释了为什么我基于该标记的防火墙规则不起作用。如果我搜索带有我的标记的应用程序引擎实例，我找不到任何：

gcloud应用程序实例列表--filter=“-tags.items=some tag”

。如上所述，在我的VPC规则中设置<1000的优先级没有帮助。注意：我的场景与OP略有不同：我想限制对计算引擎实例的访问，以便只允许我的应用引擎实例。