企业网络环境下Google Pub/Sub订阅者无法拉取消息排查

我基于GCP文档编写了Google Pub/Sub消息订阅代码，个人笔记本运行时可正常接收从Google Cloud Console发布的消息；但接入企业网络的工作笔记本运行该代码时，订阅者无法接收任何消息，且无错误提示。代码如下：

public class PullMessages
{
    SubscriberClient subscriber;

    public PullMessages(string projectId, string subscriptionId)
    {
        SubscriptionName subscriptionName = SubscriptionName.FromProjectSubscription(projectId, subscriptionId);
        subscriber = new SubscriberClientBuilder
        {
            SubscriptionName = subscriptionName,
            EmulatorDetection = EmulatorDetection.ProductionOnly
        }.Build();
    }     

    public async Task PullMessagesAsync(string projectId, string subscriptionId, bool acknowledge)
    {
        if (subscriber == null)
            { return; }

        await subscriber.StartAsync((msg, cancellationToken) =>
        {
            Console.WriteLine($"Received message {msg.MessageId} published at {msg.PublishTime.ToDateTime()}");
            Console.WriteLine($"Text: '{msg.Data.ToStringUtf8()}'");

            if (msg.Data.ToStringUtf8() == "quit")
            {
                subscriber.StopAsync(TimeSpan.FromSeconds(15));
            }

            return Task.FromResult(SubscriberClient.Reply.Ack);
        });
    }    
}

public class Program
{
    static async Task Main(string[] args)
    {
        Console.WriteLine("Starting subscriber...");

        string projectId = "pubsub74";
        string subscriptionId = "my-sub";
        string topicId = "my-topic";

        var pullMessages = new PullMessages(projectId, subscriptionId);            
        await pullMessages.PullMessagesAsync(projectId, subscriptionId, true);

    }
}

以下是可能的问题原因及排查方向：

• 企业防火墙/代理拦截
  企业网络普遍会通过防火墙或代理服务器管控外部访问，若规则限制了pubsub.googleapis.com的出站连接（Pub/Sub使用443端口的HTTPS通信），客户端会无法与服务端建立连接。由于Google Cloud客户端库默认有重试机制，不会立刻抛出错误，表现为无消息接收。可在工作笔记本上测试访问pubsub.googleapis.com（比如执行curl https://pubsub.googleapis.com/v1/projects/pubsub74/subscriptions/my-sub），若无法访问，需联系IT部门开放对应域名和端口权限。

• 代理配置缺失
  若企业网络要求通过代理访问外部服务，但代码未配置代理参数，会导致连接失败。Google Cloud .NET客户端库支持两种配置方式：

  • 环境变量：设置HTTP_PROXY和HTTPS_PROXY为企业代理地址
  • 代码配置：在SubscriberClientBuilder中添加代理逻辑：

    subscriber = new SubscriberClientBuilder
    {
        SubscriptionName = subscriptionName,
        EmulatorDetection = EmulatorDetection.ProductionOnly,
        HttpClient = new HttpClient(new HttpClientHandler
        {
            Proxy = new WebProxy("http://your-proxy-address:port"),
            UseProxy = true
        })
    }.Build();
    

• DNS解析异常
  企业内部DNS服务器可能无法正确解析pubsub.googleapis.com域名，导致客户端找不到服务端地址。可在工作笔记本执行nslookup pubsub.googleapis.com，对比个人笔记本的解析结果，若解析失败或返回错误IP，需联系IT部门排查DNS配置。

• 身份权限隐性限制
  工作笔记本可能使用了不同的GCP身份凭证，或企业网络的身份策略（如AD集成、VPN权限）限制了账号访问Pub/Sub资源。可检查当前活跃账号：执行gcloud auth list确认账号拥有pubsub.subscriptions.consume权限；若使用服务账号密钥，确认密钥文件配置正确且未过期。

• 客户端静默重试导致无提示
  Google Cloud客户端库默认会自动重试连接失败请求，不会立即抛出异常，导致无错误提示。可在代码中添加日志或异常捕获来排查：

  public async Task PullMessagesAsync(string projectId, string subscriptionId, bool acknowledge)
  {
      if (subscriber == null) return;
      try
      {
          await subscriber.StartAsync((msg, cancellationToken) =>
          {
              // 原有消息处理逻辑
          });
      }
      catch (Exception ex)
      {
          Console.WriteLine($"异常信息: {ex.Message}");
          Console.WriteLine($"调用栈: {ex.StackTrace}");
      }
  }
  

内容的提问来源于stack exchange，提问作者Rajib