google-app-engine - App Engine Flex 的默认 VPC 防火墙规则是什么

Question

我在一个 App Engine 柔性环境项目中部署了一些服务。服务实例在它们的 app.yaml 文件中指定的同一 VPC 网络(非默认)中运行，并从同一子网分配 IP 地址。默认情况下，这两种服务都可以从外部访问，我想配置防火墙规则以仅保留允许传入流量的默认服务。

因此，作为第一步，我正在配置一条规则以拒绝此 VPC 中所有实例的所有入口，我的想法是创建另一条具有更高优先级的规则以仅允许流量流向运行默认服务的一个实例。
问题是，当我创建一个优先级为 1001 的防火墙规则来阻止所有传入流量时，我的默认服务仍然会收到请求。但是，如果我将优先级指定为 1000 或以下，则流量会被阻止，我会收到 502 服务器错误。

问题当然是为什么？ VPC 文档指出，只有两个默认防火墙规则用于所有手动创建的 VPC 网络:

• A default "allow egress" rule.
  Allows all egress connections. Rule has a priority of 65535.
• A default "deny ingress" rule.
  Deny all ingress connection. Rule has a priority of 65535

那么为什么我的 1001 优先级规则无法阻止入口，而具有优先级 1000(或更低)的完全相同的规则却按预期工作？ Flex 实例是否有任何其他默认防火墙规则，或者我是否遗漏了其他内容？

Answer 1

据我了解，两个防火墙都必须允许流量才能使请求到达您的 App Engine。如果任何人有充分的理由阻止该请求，则该请求将被阻止。

你可以通过查看响应代码知道哪个防火墙被阻止了:

• A 502 -> VPC 防火墙
• A 403 -> App Engine 防火墙

如果启用日志，您可以知道 VPC 防火墙上的哪个规则导致拒绝。

关于“1000 对 1001 优先级”规则，这是一种非常奇怪(且未记录)的行为。因此，让我们在这里为可能偶然发现它的人记录下来:

Rules on the VPC network for flexible App Engine instances seems to work only if priority is below 1000.