配置VPC Connector后Google Cloud Function出现ETIMEOUT错误如何解决？

针对你遇到的connect ETIMEDOUT错误，在保留VPC Connector的前提下，可以按以下步骤排查和修复：

1. 验证Cloud NAT配置 #

• 确认Cloud NAT关联的IP地址池包含你配置的静态公网IP，且NAT规则绑定的Cloud Router属于VPC Connector所在的VPC网络。
• 检查NAT的端口分配策略：如果函数并发量较高，默认的端口数可能不足，导致连接排队超时。可以调整min-ports-per-vm参数（比如设为1024），增加单实例可用的出站端口数。

2. 检查VPC Connector状态 #

• 确认VPC Connector所在的子网有足够的可用内部IP，避免函数实例无法获取IP导致网络初始化失败。
• 重新部署Cloud Function，确保Route all traffic through the VPC connector的出站设置完全生效（偶尔配置变更需要重新部署才能触发更新）。

3. 排查VPC防火墙规则 #

• 检查VPC的出站防火墙规则，确保存在允许访问目标IP12.123.123.123的443端口的规则，且规则优先级高于默认的拒绝规则。
• 防火墙规则的目标范围要覆盖VPC Connector所在的子网，或者直接设为0.0.0.0/0（允许所有出站流量），不要遗漏函数实例的内部IP段。

4. 验证DNS解析 #

• 由于所有流量走VPC，Cloud Function会使用VPC的DNS服务器解析域名。在VPC子网内创建一个测试VM，执行nslookup reactor.adobe.io或dig reactor.adobe.io，确认解析结果是正确的目标IP12.123.123.123。如果解析错误，需要检查Cloud DNS的配置，确保没有自定义DNS规则干扰解析。

5. 检查Cloud Router路由 #

• 确认Cloud Router的路由表中存在默认路由0.0.0.0/0，且下一跳指向Cloud NAT实例。避免路由过滤器或BGP规则阻止了到Adobe API IP段的流量。

6. 端到端测试定位问题 #

• 在VPC子网内创建临时VM，通过Cloud NAT的静态IP出站，执行curl -v https://reactor.adobe.io/rules/RL*******************123/rule_components测试API调用：
  • 如果VM能成功调用，说明问题出在Cloud Function与VPC Connector的关联配置，可尝试删除并重新创建VPC Connector后再部署函数。
  • 如果VM也超时，说明问题在VPC的NAT、防火墙或路由配置，需要重新核对这些环节。

7. 确认Adobe API的IP白名单 #

• 确保你配置的静态公网IP已经添加到Adobe API的访问白名单中。部分API服务会拒绝未在白名单内的IP连接，可能表现为超时而非明确的拒绝错误。

内容的提问来源于stack exchange，提问作者Apurva