如何让Vertex AI流水线通过自定义共享VPC访问外网？配置后断网求助

你遇到的问题是启用VPC Service Controls对等配置后丢失互联网连接，核心是未完成默认路由导出及配套的VPC策略配置，以下是具体操作步骤：

1. 启用对等连接的默认路由导出 #

• 打开Google Cloud控制台的VPC网络界面，定位到你的共享VPC网络
• 切换到「对等连接」标签，找到与Vertex AI的服务对等连接（名称格式为servicenetworking-googleapis-com）
• 编辑该对等连接，勾选导出默认路由选项并保存。此操作会让Vertex AI的出站流量复用共享VPC的互联网路由规则

2. 配置共享VPC的互联网访问基础规则 #

• 确保共享VPC中存在有效的0.0.0.0/0默认路由：
  • 若使用Cloud NAT，需确认NAT网关已关联流水线所在子网，且NAT配置允许该子网的流量出站
  • 若直接使用互联网出口，需确保子网的外部IP访问未被限制
• 必须允许DNS解析流量：添加出站防火墙规则，允许UDP 53端口的流量到任意目标，避免流水线无法解析外部域名

3. 配置白名单管控策略 #

• 在共享VPC中添加出站防火墙规则，设置目标IP范围为你的白名单地址段，动作设为「允许」
• 添加一条优先级更低的出站规则，拒绝所有其他0.0.0.0/0的互联网流量，实现白名单拦截

4. 验证Vertex AI流水线配置 #

• 提交流水线时，明确指定使用共享VPC的目标子网，确保子网已启用「私有Google访问」（如需访问Google服务同时走VPC）
• 确认流水线使用的服务账号拥有共享VPC子网的compute.networkUser角色权限

5. 测试与排查 #

• 登录流水线运行的Pod，执行curl http://example.com测试互联网连通性
• 查看共享VPC的流日志，确认流量是否按照预期通过共享VPC的路由和NAT出站

内容的提问来源于stack exchange，提问作者Naran