GCP架构问题：Cloud Run连接Compute VM中Elasticsearch遇9200端口超时

核心问题分析 #

你当前的全球外部负载均衡器仅负责将公网请求转发到Cloud Run实例，无法通过它将流量导向Compute VM上的Elasticsearch——因为Serverless VPC NEG（网络端点组）仅适用于带内部IP的负载均衡器，外部LB不支持该配置。而你尝试的curl https://www.example.com:9200超时，本质是因为外部LB的后端只有Cloud Run，后者并未监听9200端口，请求根本无法触达VM上的Elasticsearch。

最优解决方案：用Serverless VPC Access实现内部访问 #

不需要部署第二个负载均衡器，更高效的方式是让Cloud Run直接接入VPC，通过内部网络访问Compute VM。具体步骤如下：

1. 创建Serverless VPC Access连接器

   • 在Google Cloud控制台创建VPC连接器，关联Cloud Run所在的VPC及子网，确保该VPC与Compute VM所在VPC一致（若不在同一VPC，可先配置VPC对等连接）。
   • 连接器的IP段需与VPC内现有资源无冲突，且分配足够的IP容量。

2. 配置Cloud Run使用VPC连接器

   • 编辑Cloud Run服务的网络配置，启用"通过VPC连接器访问内部资源"选项，选择刚创建的连接器。
   • 确保Cloud Run服务的服务账号拥有访问VPC资源的权限（如roles/vpcaccess.user）。

3. 设置Compute VM的防火墙规则

   • 添加防火墙规则，允许来自VPC连接器IP段的流量访问VM的9200（Elasticsearch）和5601（Kibana）端口。
   • 规则方向设为"入站"，目标为VM所在的实例或标签，源IP指定为VPC连接器的IP范围。

4. 调整Cloud Run的访问逻辑

   • 在Cloud Run代码中，直接使用Compute VM的内部IP:9200访问Elasticsearch，无需通过自定义域名或公网IP。

关于多负载均衡器的说明 #

同一区域允许部署多个负载均衡器，但在此场景下完全没必要——额外的外部LB会增加成本和复杂度，且Cloud Run到VM的访问属于内部流量，无需通过公网负载均衡器中转。

补充验证步骤 #

完成上述配置后，可在Cloud Run服务中添加简单的测试代码，尝试请求VM内部IP的9200端口，确认连接是否正常。若仍有问题，检查：

• VPC连接器是否正常运行
• 防火墙规则的源IP范围是否正确
• Elasticsearch是否仅绑定了内部IP（你已在elasticsearch.yml中添加配置network.host: 0.0.0.0，需先确保VM内部能正常访问localhost:9200）

内容的提问来源于stack exchange，提问作者Teoman Kirac