Google cloud platform 使用IaaS设备保护GCP无服务

是否可以在内部（通过VPC）访问GCP PaaS（应用程序引擎、云功能、云运行）

我在这份文件中看到： “无服务器VPC访问仅允许由无服务器环境启动请求。由VM启动的请求必须使用无服务器服务的外部地址。有关详细信息，请参阅专用Google访问。”

---

但是搜索类似“无服务器VPC访问允许输入/输出请求”的东西时，您有两种方法：输入和输出

请求无服务器应用程序

您可以将入口控制与和服务一起使用。你可以说：我希望只有来自VPC（或VPC SC外围）的连接才能访问我的无服务器应用程序。使用AppEngine，您可以使用防火墙规则，但不能使用私有IP

来自无服务器应用程序的请求

在这里，您希望通过私有IP访问仅在VPC上公开的私有资源。使用，和，您可以插入a来实现这一点

---

编辑1

由于您的设备防火墙部署在谷歌云上，AppEngine并不是这方面的完美产品。事实上，使用AppEngine，你无法控制入口流量，你总是接受来自互联网的流量，即使你已经在谷歌云网络上拥有一个带有私有IP的东西（这里是你的设备）

这里的解决方案（要测试，取决于设备容量）是使用和路由部署设备的子网的所有流量，并使用保留的静态IP

然后，在AppEngine上，您可以只接受来自该保留静态IP的流量

---

所有这些层的延迟都会增加…

您有两种方式：输入和输出

请求无服务器应用程序

您可以将入口控制与和服务一起使用。你可以说：我希望只有来自VPC（或VPC SC外围）的连接才能访问我的无服务器应用程序。使用AppEngine，您可以使用防火墙规则，但不能使用私有IP

来自无服务器应用程序的请求

在这里，您希望通过私有IP访问仅在VPC上公开的私有资源。使用，和，您可以插入a来实现这一点

---

编辑1

由于您的设备防火墙部署在谷歌云上，AppEngine并不是这方面的完美产品。事实上，使用AppEngine，你无法控制入口流量，你总是接受来自互联网的流量，即使你已经在谷歌云网络上拥有一个带有私有IP的东西（这里是你的设备）

这里的解决方案（要测试，取决于设备容量）是使用和路由部署设备的子网的所有流量，并使用保留的静态IP

然后，在AppEngine上，您可以只接受来自该保留静态IP的流量

---

所有这些层的延迟都会增加…

您能提供更多有关预期用途的详细信息吗？也许您可以使用外部IP触发内部连接？目标是通过VPC上的网络设备来控制输入/输出PaaS流量。您能否提供有关预期用途的更多详细信息？也许您可以使用外部IP触发内部连接？目标是通过VPC上的网络设备来控制输入/输出PaaS流量。您好@guillaume，谢谢您的详细解释。假设我想使用基于设备的防火墙（我的意思是IaaS资源），AppEngine可能吗？就像你说的，防火墙规则保护应用程序引擎。我的目标是使用防火墙设备发布应用程序引擎。你认为这可行吗？我不清楚交通是从哪里来的？从应用程序引擎？从外面？您的防火墙设备位于哪里？On Prem？来自外部的流量和CGP（第三方工具）上的防火墙设备。意味着在进入应用程序引擎之前，外部流量会进入GCP上作为设备管理的第三方防火墙。我用可能的解决方案更新了我的答案。你需要测试它，以确保它的工作！谢谢纪尧姆，那会给你的。我很确定它能用，但正如你说的，设计很糟糕。相反，我将回顾我的需求..您好@guillaume，谢谢您的详细解释。假设我想使用基于设备的防火墙（我的意思是IaaS资源），AppEngine可能吗？就像你说的，防火墙规则保护应用程序引擎。我的目标是使用防火墙设备发布应用程序引擎。你认为这可行吗？我不清楚交通是从哪里来的？从应用程序引擎？从外面？您的防火墙设备位于哪里？On Prem？来自外部的流量和CGP（第三方工具）上的防火墙设备。意味着在进入应用程序引擎之前，外部流量会进入GCP上作为设备管理的第三方防火墙。我用可能的解决方案更新了我的答案。你需要测试它，以确保它的工作！谢谢纪尧姆，那会给你的。我很确定它能用，但正如你说的，设计很糟糕。我会重新考虑我的需求。。