Google Cloud Run连接Cloud Memorystore Redis超时问题求助

1. 核对VPC连接器的核心配置 #

• 确认Cloud Run服务已正确关联VPC连接器：进入Cloud Run服务的「编辑与部署新版本」页面，检查「连接」模块下的VPC连接器是否选中default-connector，且连接器所属VPC与Redis实例的VPC完全一致。
• 验证防火墙规则的源IP段：查看VPC连接器详情页的「出站IP地址」，确认防火墙入站规则中允许的100.8.0.0/28是否与连接器实际的出站IP范围匹配——默认连接器的IP段可能因配置不同而变化，必须完全一致才能放行流量。

2. 检查Redis实例的网络访问控制 #

• 确认Redis的「授权网络」配置：进入Memorystore Redis实例详情页，查看「网络」选项下的授权网络是否包含VPC连接器的IP段，或者直接允许整个VPC网络的访问。如果授权网络为空或未包含目标IP段，Redis会拒绝所有外部（包括VPC内部非授权）连接。
• 用同VPC虚拟机验证Redis可达性：在Redis所在VPC下创建临时Compute Engine虚拟机，执行redis-cli -h 10.x.x.x ping测试连接。如果虚拟机能连通，说明Redis本身无问题，问题出在Cloud Run到VPC的链路；如果虚拟机也超时，直接排查Redis的防火墙或网络配置。

3. 确认Cloud Run服务账户的VPC访问权限 #

• 给Cloud Run的服务账户添加roles/vpcaccess.user角色：进入IAM页面，找到Cloud Run服务使用的默认服务账户（通常是PROJECT_ID@appspot.gserviceaccount.com），添加该角色。没有这个权限的话，即使关联了VPC连接器，Cloud Run也无法使用VPC网络发起请求。

4. 排查代码与依赖问题 #

• 升级redis-py依赖：旧版本的redis-py可能存在VPC内部连接的兼容性问题，执行pip install --upgrade redis升级到最新稳定版后重新部署。
• 在Cloud Run容器内直接测试连接：启用Cloud Run服务的「允许交互式shell」，进入容器后执行redis-cli -h 10.x.x.x ping，如果容器内也超时，说明是网络问题；如果能连通，再排查代码中的连接参数是否有误（比如IP写错、端口被硬编码错误等）。

5. 修正VPC流日志的过滤逻辑 #

• 调整流日志的过滤条件：在VPC流日志中，设置过滤条件为src_ip:(连接器出站IP段) AND dst_ip:10.x.x.x AND dst_port:6379，精准查找Cloud Run到Redis的流量。如果仍无日志记录，说明请求根本没进入VPC链路，优先排查连接器关联和服务账户权限问题。

内容的提问来源于stack exchange，提问作者n212