Google Cloud Run部署的C# GRPC服务无法外部访问的排查求助

核心问题根源 #

1. Cloud Run端口暴露规则误解
   Cloud Run仅对外暴露443（HTTPS）和80（HTTP）端口，容器内的50051端口不会直接对外开放。你用telnet连接50051失败是正常现象，外部请求必须通过Cloud Run分配的服务域名，走443端口访问。

2. 客户端访问配置错误
   本地/Docker环境下可以直接连50051，但部署到Cloud Run后，客户端必须：

• 使用Cloud Run服务的完整域名（形如xxx-xxxx-uc.a.run.app）
• 连接端口443而非50051
• 对于GRPC请求，需确保客户端配置了TLS（Cloud Run入口强制HTTPS，即使容器内用h2c，前端也会完成TLS到h2c的转换）

3. h2c配置匹配问题
   你的YAML里配置了h2c端口，但需要确保服务代码确实在监听50051端口并支持明文HTTP/2（h2c）。比如C# ASP.NET Core中，需在Kestrel配置里指定监听50051并启用HTTP/2协议。

诊断与修复步骤 #

• 修正客户端访问地址
  把GRPC客户端的目标地址改成Cloud Run服务域名，端口设为443。比如C#中创建通道的代码：

  var channel = GrpcChannel.ForAddress("https://your-service-domain.a.run.app");
  

• 用grpcurl测试连接
  用grpcurl工具快速验证服务可用性，命令示例：

  grpcurl -d '{}' your-service-domain.a.run.app:443 Your.Service.Namespace/MethodName
  

  如果服务需要认证，需添加对应的token参数；如果是h2c后端，Cloud Run会自动处理TLS转h2c，无需额外参数。

• 检查Cloud Run服务配置
  确认：

  • 端口配置中name为h2c、containerPort为50051（你的YAML配置正确，但需确保部署时已生效）
  • 服务的“允许未验证的调用者”已开启（如果还没配置IAM权限，先打开这个选项测试）

• 验证服务代码监听逻辑
  检查C#代码中Kestrel的配置，确保监听50051端口并支持HTTP/2：

  WebHost.CreateDefaultBuilder(args)
      .UseKestrel(options =>
      {
          options.ListenAnyIP(50051, o => o.Protocols = HttpProtocols.Http2);
      })
      .UseStartup<Startup>();
  

• 查看Cloud Run请求日志
  到Cloud Logging中查看是否有客户端请求到达：

  • 如果没有请求日志，说明客户端地址/端口配置错误，请求没到Cloud Run
  • 如果有4xx/5xx错误，根据日志提示排查服务端逻辑问题

• 放弃telnet/ping端口测试
  Cloud Run实例IP是动态分配的，ping通不代表端口开放；50051端口仅在容器内部可访问，外部无法直接连接，这是平台设计规则。

内容的提问来源于stack exchange，提问作者tatmanblue