Google Cloud Run调用GKE服务时出现503错误求助

1. 网络防火墙与连通性验证 #

• 检查GKE服务的外部负载均衡器防火墙规则：确保允许响应流量返回Cloud Run的出站IP范围。Cloud Run的出站IP是动态的，若GKE防火墙仅放行特定IP段，需将Cloud Run所属区域的出站IP范围加入允许列表；若使用VPC连接器，需确保连接器与GKE集群在同一VPC，且VPC内防火墙允许双向流量。
• 在Cloud Shell中模拟Cloud Run环境调用GKE外部IP：执行curl -v <app2-external-ip>，观察是否能正常获取响应。如果curl也超时或失败，说明是网络层面的问题；如果curl成功，再检查代码层面的差异。

2. 响应内容与传输异常排查 #

• 简化app2的响应：临时修改app2返回极小的固定响应（如return "OK"），排除响应体过大导致的传输阻塞。
• 检查响应头合规性：确认app2返回的响应头没有超长字段、非法字符或不符合HTTP规范的格式，这类问题可能导致Cloud Run网络层截断响应。

3. Cloud Run环境配置检查 #

• 核查出站网络策略：若Cloud Run配置了出站流量限制，需确保GKE的外部IP或域名在允许访问的列表中。
• 验证VPC连接器权限（若使用）：确保Cloud Run的服务账号拥有roles/vpcaccess.serviceAgent角色，且连接器配置正确关联到GKE所在的VPC网络。

4. GKE负载均衡器配置检查 #

• 检查GKE LB的超时设置：确认负载均衡器的响应超时时间不短于Cloud Run侧的超时配置（如你设置的1/3分钟），避免LB提前截断响应。
• 查看GKE LB的日志：通过Cloud Logging筛选GKE负载均衡器的日志，确认响应是否成功从LB发出，是否有丢包或转发错误。

5. 代码层面细节排查 #

• 添加详细异常捕获：修改代码捕获所有请求异常并打印堆栈信息，明确错误类型（如SSL验证失败、连接超时、重置等）：

  try:
      logger.info(f'App is ready to send GET request to {app_url}')
      response = requests.get(app_url, headers=headers, timeout=30)
      logger.info(f'GET request completed, status code: {response.status_code}')
  except Exception as e:
      logger.error(f'Request failed with error: {str(e)}', exc_info=True)
  

• 检查SSL证书验证：若GKE服务使用自签名证书，Cloud Run环境默认会严格验证证书，需在请求中添加verify=False（仅测试用，生产环境建议使用可信证书），或导入自定义证书到Cloud Run实例。
• 禁用连接复用测试：临时使用独立的请求会话，避免连接池复用导致的异常：

  from requests.adapters import HTTPAdapter
  
  session = requests.Session()
  # 禁用连接池复用
  adapter = HTTPAdapter(pool_connections=1, pool_maxsize=1)
  session.mount('http://', adapter)
  session.mount('https://', adapter)
  
  try:
      response = session.get(app_url, headers=headers)
  finally:
      session.close()
  

内容的提问来源于stack exchange，提问作者Anastasia