GCP下MySQL v8.4启用SSL后无法连接App Engine，需先经Cloud Shell连接

核心问题分析 #

你遇到的现象（Cloud Shell连接后App Engine可正常访问，重启实例后失效），大概率是MySQL实例的授权规则未完全生效、网络状态未同步，或是App Engine的动态出口IP未被正确纳入授权范围导致的。Cloud Shell的连接操作可能触发了实例的网络状态刷新，临时打通了连接，但重启后状态重置。

分步解决方案 #

1. 正确配置App Engine出口IP的授权规则 #

App Engine标准环境使用动态出口IP，需将对应区域的完整IP范围加入MySQL授权列表：

• 执行命令获取App Engine所在区域：

  gcloud app describe | grep locationId
  

• 在MySQL实例的连接页面，添加授权项：
  • 授权用户：填写App Engine使用的数据库账号
  • 主机：填入App Engine对应区域的所有IP段（或先使用%做宽松授权，测试通过后再收紧范围）
  • 权限：确保勾选CONNECT及所需的数据库操作权限

2. 强制刷新MySQL授权规则 #

登录MySQL实例后，执行以下命令强制刷新权限，避免规则延迟生效：

FLUSH PRIVILEGES;

同时检查当前授权是否正确：

SELECT user, host FROM mysql.user;
SHOW GRANTS FOR '你的数据库账号'@'%';

3. 排查VPC网络配置（若使用Serverless VPC Access） #

如果App Engine通过Serverless VPC Access连接MySQL：

• 确认VPC连接器已关联到App Engine服务，且状态为ACTIVE
• 检查MySQL实例所在VPC的防火墙规则，允许3306端口从VPC连接器的IP范围入站
• 确认MySQL实例的授权列表包含VPC连接器的IP段

4. 查看MySQL日志定位具体错误 #

在Cloud Logging中搜索MySQL实例的日志，用access denied、connection refused作为关键词，查看App Engine连接失败时的具体错误信息，明确是权限问题还是网络不通导致的。

5. 测试并验证连接稳定性 #

• 在App Engine代码中添加连接失败的日志记录，明确失败时机和错误详情
• 若重启实例后必须通过Cloud Shell触发才能连接，说明实例存在网络状态同步异常，可提交GCP支持工单，提供实例ID、App Engine服务ID及相关日志排查

内容的提问来源于stack exchange，提问作者Komal