为何GCE实例间default-allow-icmp防火墙规则无日志记录？

可能的原因及解决方案 #

1. 流量被其他规则优先匹配 #

GCP防火墙规则遵循数值越小优先级越高的逻辑；优先级相同时，允许规则会匹配最具体的源/目标范围，或按生效顺序处理。

default-allow-icmp优先级为65534（最低优先级），如果VPC中存在其他入站允许规则（比如默认的default-allow-internal规则，允许内部IP段所有协议，优先级同样为65534），且你的两个GCE实例处于内部IP范围（如默认的10.128.0.0/9），ICMP流量会被default-allow-internal先匹配处理，不会触发default-allow-icmp的日志。

验证与解决：

• 排查VPC内所有入站允许规则，确认是否有覆盖ICMP流量的高优先级/同优先级规则；
• 将default-allow-icmp的优先级调整为更低数值（如65533），让它优先匹配ICMP流量；
• 或修改default-allow-internal规则，排除ICMP协议，确保流量落到default-allow-icmp规则上；
• 检查default-allow-internal的日志，确认是否有对应Hit count记录。

2. 日志配置存在异常 #

即使规则已启用日志，以下问题会导致无日志生成：

• 日志采样率设置为0（默认采样率为10%）；
• 日志级别设置过低（如仅记录Error级，而允许动作的日志为Info级）；
• 配置同步延迟（GCP配置生效可能需要5-10分钟）。

验证与解决：

• 进入防火墙规则编辑页面，确认Log severity设为Info或更高级别，Sample rate不为0；
• 测试时可临时将采样率设为100%，重新执行ping后等待5-10分钟再检查；
• 到Cloud Logging的gce_firewall_rules日志集，直接搜索规则名称，确认是否有日志生成。

3. Hit count统计范围限制 #

Hit count默认仅展示过去1小时的统计数据，如果ping操作是在更早时间执行的，可能不会显示。

验证与解决：

• 重新执行ping操作，等待3-5分钟后刷新Hit count页面；
• 在Cloud Logging中查看完整日志历史，确认是否有对应条目。

4. 特殊网络配置影响 #

如果实例位于共享VPC、使用了实例级标签过滤，或存在其他网络策略，可能导致规则未实际触发：

• 确认default-allow-icmp的目标标签/目标IP范围覆盖了接收ping的实例；
• 若为共享VPC，检查宿主项目的防火墙规则是否有更高优先级的ICMP允许规则；
• 确认实例未应用冲突的实例级防火墙规则。

内容的提问来源于stack exchange，提问作者Alex Pykavy