启用防火墙后，同一项目内GAE标准环境间API调用遭禁止

以下是针对同项目GAE标准实例间调用出现禁止错误的排查步骤：

1. 确认调用请求的实际源IP #

首先要明确GAE1调用GAE2时的真实出口IP，这是最直接的排查点：

• 查看GAE2的访问日志，找到被拒绝的请求记录，查看remote_ip字段，确认请求的源IP。
• 或者在GAE1的应用代码中添加日志，输出调用GAE2时本地的出口IP（比如通过第三方IP查询接口获取）。
  拿到真实IP后，将对应的IP/IP段添加到GAE防火墙的ALLOW规则中，确保优先级高于默认的DENY规则。

2. 替换IP白名单为服务身份认证 #

依赖IP段的防火墙规则容易因为GAE出口IP动态变化失效，更可靠的方案是通过IAM身份验证控制访问：

• 给GAE1的默认服务账号（[项目ID]@appspot.gserviceaccount.com）添加roles/appengine.appViewer权限（或根据需求自定义更精细的权限）。
• 在GAE2的insertToDB API代码中，验证请求的身份：检查请求头中的X-Appengine-Inbound-Appid字段是否为当前项目ID，或者使用GCP的身份验证库验证请求的服务账号身份。

3. 检查防火墙规则的优先级与覆盖关系 #

• 确保所有ALLOW规则的priority值小于默认DENY规则的2147483646，因为优先级数值越小，规则越先匹配。
• 检查是否存在其他优先级更高的DENY规则，意外拦截了GAE1的请求。可以通过以下gcloud命令列出所有防火墙规则：

gcloud app firewall-rules list

4. 修正GAE出口IP段配置 #

GAE标准环境的出口IP属于GCP全局IP池，而非旧文档中列出的小范围IP段：

• 使用gcloud命令获取当前GCP的全局IP范围：

gcloud compute addresses list --global --format="value(address)"

• 将这些IP段添加到防火墙ALLOW规则中（如果IP数量较多，可以合并为合适的CIDR段）。

5. 检查VPC访问配置（如果启用） #

如果GAE实例配置了VPC访问（Serverless VPC Access），则请求的出口IP可能是VPC内部IP或云NAT的IP：

• 确认云NAT的静态IP范围，添加到防火墙ALLOW规则。
• 或者直接允许VPC的内部IP段访问GAE2。

内容的提问来源于stack exchange，提问作者Alexander Chandra