GCP Cloud Functions出口流量地域定位及限制问题

1. 为什么部署在us-central1的函数会从澳大利亚发起请求？ #

默认情况下，未配置VPC的Cloud Function依赖GCP的全球公共边缘网络发起出口请求。GCP会根据实时网络负载、链路延迟等因素自动选择最优的出口节点，这个节点并不固定在函数的部署区域。所以即使你在us-central1部署函数，仍有小部分请求会从其他区域（比如澳大利亚）的边缘IP发出，这是无服务器服务的正常网络调度行为。

2. 无需静态IP，能否限制出口流量至特定区域？ #

可以实现，核心方案是通过VPC + Cloud NAT组合配置：

• 给Cloud Function配置关联到一个VPC网络（无需申请静态IP）
• 在目标区域（比如us-central1）的VPC子网下创建Cloud NAT网关，指定NAT使用该区域的子网地址池
• 确保Cloud Function的出口流量通过这个VPC的Cloud NAT网关转发，这样所有出口请求的IP都会来自us-central1区域的NAT地址池，从而把出口流量限制在指定区域。

3. 如何确定出口流量的实际来源？ #

有两种可靠方式：

• 在函数代码中记录出口IP：发起第三方请求前，先调用能返回当前出口IP的服务（比如http://httpbin.org/ip），将获取到的IP、请求ID等信息写入Cloud Logging。之后通过日志筛选就能查看每个请求的实际出口IP，再结合IP归属地数据确认所属区域。
• 启用VPC Flow Logs：如果已经将Cloud Function关联到VPC，可开启对应子网的VPC Flow Logs，日志中会包含出口流量的源IP信息，分析这些日志就能确定出口IP的区域。

内容的提问来源于stack exchange，提问作者Jeffrey Van Laethem