Terraform配置Google Compute实例防火墙规则不生效求助

核心问题 #

1. 网络不匹配：你的GCE实例使用默认网络（default），但防火墙规则关联的是你新建的allow-https网络，两者不在同一网络，导致规则既不会应用到实例，也不会在控制台对应网络下显示。
2. 规则目标配置错误：防火墙规则用了source_tags = ["allow-http"]，这是限制仅带该标签的来源能访问，而你需要的是允许外部访问指定实例，应该用target_tags来绑定规则到目标实例。
3. 标签不匹配：实例的标签列表里没有allow-http，即便规则配置正确也无法关联到实例。

修正后的完整配置 #

resource "google_compute_instance" "web-terraform" {
  name         = "web-terraform"
  machine_type = "n1-standard-2"
  zone         = "us-central1-a"
  tags = ["http-server","https-server", "allow-redis"]
   
  boot_disk {
    initialize_params {
      image = "ubuntu-os-cloud/ubuntu-2004-lts"
    }
  }

  network_interface {
    network = "default" # 和防火墙规则使用同一网络
     access_config {
      // 配置临时公网IP
    }
  }
  metadata_startup_script = <<-EOF
  apt update
  apt install -y redis-server
  systemctl enable redis-server
  systemctl start redis-server
  mkdir -p /var/www
  echo "Hello!!." > /var/www/index.html
  nohup python3 -m http.server 80 --directory /var/www &
  EOF

  service_account {
    email  = "myserviceaccount.name"
    scopes = ["cloud-platform"]
  }

}

resource "google_compute_firewall" "allow_http_https" {
  name    = "allow-http-https"
  network = "default" # 与实例网络保持一致
  
  allow {
    protocol = "tcp"
    ports    = ["80", "443"]
  }

  target_tags = ["http-server", "https-server"] # 指定应用规则的实例标签
  source_ranges = ["0.0.0.0/0"] # 允许所有外部IP访问（按需调整范围）
}

# 若不需要自定义网络，可删除以下代码块
# resource "google_compute_network" "default" {
#   name = "allow-https"
# }

关键修改说明 #

• 确保防火墙规则与实例使用同一网络（这里保留默认网络，若要使用自定义网络，需将实例的network字段改为google_compute_network.default.name）。
• 用target_tags绑定规则到带指定标签的实例，对应实例tags中的http-server和https-server。
• 添加source_ranges = ["0.0.0.0/0"]开放外部访问权限（可根据安全需求缩小IP范围）。
• 移除不必要的ICMP规则（需保留可自行添加），并重命名防火墙资源避免混淆。

验证步骤 #

1. 执行terraform init初始化配置。
2. 执行terraform plan检查配置变更合理性。
3. 执行terraform apply应用配置。
4. 登录GCP控制台进入VPC网络 > 防火墙，在默认网络下即可看到allow-http-https规则，同时实例的80端口可正常访问。

内容的提问来源于stack exchange，提问作者Sankari Jay