如何诊断用户防火墙阻断React站点的Google Cloud Run API调用？

诊断步骤 #

1. 定位DNS解析异常 #

• 让受影响用户执行以下命令并记录输出：

  nslookup api.mysite.com
  nslookup mybackend-abcdefghij-uc.a.run.app
  

将结果与Google DNS（8.8.8.8）下的解析结果对比，判断ISP是否存在DNS劫持或返回错误IP的情况。

• 检查api.mysite.com的DNS记录TTL值，确认新域名解析已完成全网缓存更新，避免部分用户仍获取旧记录。

2. 排查SSL/TLS兼容性问题 #

• 测试Cloud Run服务的SSL配置，执行：

  openssl s_client -connect api.mysite.com:443
  

  查看输出中的TLS版本、加密套件列表，确认是否包含ISP防火墙可能拦截的老旧协议（如TLS 1.0/1.1），确保服务优先支持TLS 1.2及以上版本。
• 确认Cloud Run使用的SSL证书由公共可信CA签发，避免ISP安全软件拦截未受信任的证书。

3. 验证网络与跨域规则 #

• 检查Cloud Run的 ingress设置，确保为Allow all traffic，排除内部网络访问限制。
• 核对Firebase Hosting和Cloud Run后端的CORS配置，确认myapp.mysite.com被允许发起跨域请求，且后端返回正确的Access-Control-Allow-Origin响应头。
• 让受影响用户用curl测试请求，获取详细错误日志：

  curl -v https://api.mysite.com/your-test-endpoint
  

  观察是否有SSL握手失败、连接重置等细节，判断是否为ISP深度包检测（DPI）拦截。

复现方法 #

1. 模拟ISP网络环境 #

• 使用Spectrum IP段的代理服务发起请求，尝试复现ERR_SSL_PROTOCOL_ERROR。
• 手动修改本地hosts文件，模拟ISP返回错误的Cloud Run服务IP，验证是否触发相同的SSL错误。

2. 构建针对性测试环境 #

• 临时部署一个使用默认run.app域名的Cloud Run测试服务，在Spectrum网络下用前端发起调用，对比自定义域名api.mysite.com的访问差异。
• 在浏览器开发者工具中，手动禁用TLS 1.3或特定加密套件，尝试复现SSL协议错误。

3. 补充日志监控 #

• 在前端axios中添加拦截器，捕获并记录请求的DNS解析结果、SSL握手阶段的错误详情：

  axios.interceptors.request.use(config => {
    dns.lookup(new URL(config.url).hostname, (err, address) => {
      console.log('DNS解析结果:', address);
    });
    return config;
  }, error => {
    console.error('请求错误详情:', error);
    return Promise.reject(error);
  });
  

• 启用Cloud Run的VPC Flow Logs，查看是否有流量在到达应用层前被防火墙阻断。

内容的提问来源于stack exchange，提问作者Student