Cloud Run域名解析至不可达IP问题及地域IP疑问咨询

一、地域IP解析不符预期的原因 #

Cloud Run自定义域名的解析基于Google Anycast网络，并非严格绑定部署地域的IP。返回的IP由请求发起方的网络路由、DNS服务器调度策略决定：

• 你本地ping返回美国IP，是因为你的本地网络出口路由指向了Google美国节点，而非asia-east1（中国台湾）节点。Google DNS会根据请求源的ASN、地理位置等信息返回最优可达IP，而非强制返回部署地域的IP。
• 验证方法：在asia-east1地域的云服务器上执行ping api.myapp.com，或用dig @8.8.8.8 api.myapp.com +trace查看DNS解析链路，确认不同网络环境下的解析结果差异。

二、特定支付网关解析到不可达IP的核心原因 #

74.125.68.121是Google旧版Anycast IP，该支付网关集群出现异常解析的可能原因：

• 内部DNS缓存污染：其集群DNS缓存了该不可达IP，且TTL未过期，导致新部署的api2.myapp.com也被错误解析；
• 运营商路由异常：支付网关的网络运营商路由表中，指向Google Anycast节点的路由存在黑洞，仅能路由到该废弃IP；
• 安全策略误拦截：支付网关的防火墙/安全组仅放行该旧IP，拦截了Cloud Run正常节点的IP，导致解析后无法连通。
  其他支付网关无问题，是因为不同机构的网络路由、DNS配置、运营商线路不同，未触发该异常。

三、对接排查方及执行步骤 #

1. 核心对接支付网关技术团队：
   • 要求清空集群内部DNS缓存，强制刷新api.myapp.com和api2.myapp.com的解析记录，验证是否获取正常IP；
   • 索要集群内的DNS解析日志（含使用的DNS服务器、解析链路），确认是本地缓存还是上游DNS返回异常；
   • 检查集群网络的路由表，测试74.125.68.121及正常Cloud Run节点IP的连通性，排查是否存在路由策略限制。
2. 对接Google Cloud技术支持：
   • 提供Cloud Run部署ID、自定义域名映射记录，请求验证asia-east1地域节点IP的可用性，以及74.125.68.121是否已被Google标记为废弃；
   • 提交支付网关集群的公网IP段，请求检查该IP段到Cloud Run节点的路由是否存在异常。
3. 辅助核对Cloudflare配置：
   • 即使Cloudflare称无拦截配置，仍需确认DNS缓存TTL设置是否合理，是否开启了地理路由规则导致支付网关被定向到异常节点。

内容的提问来源于stack exchange，提问作者Toko Game