在GCP部署前后端独立Docker服务后无法通信的问题排查

一、独立服务部署时的通信问题 #

本地Docker Compose通过自定义网桥让两个容器直接用服务名互通，但GCP的容器服务（如Cloud Run、GKE）有自己的网络规则和服务发现机制，你可能遗漏了以下配置：

1. 确保服务处于同一网络并允许内部通信 #

• 如果使用Cloud Run：
  • 两个服务需要部署在同一VPC的Serverless VPC Access连接器下，才能在内部网络互通。
  • 配置防火墙规则，允许VPC内部的流量在后端服务的8080端口通行。
• 如果使用Google Kubernetes Engine (GKE)：
  • 确保两个服务部署在同一个命名空间下，Kubernetes默认的ClusterIP服务可通过服务名（如backend）直接访问，无需暴露外部端口。
  • 检查是否配置了NetworkPolicy，禁止了服务间的内部通信。

2. 正确的服务访问地址 #

本地你可以直接用http://backend:8080访问后端，但GCP上需要用对应服务的内部访问地址：

• Cloud Run：使用服务的内部URL，格式为https://<backend-service-name>.<region>.run.app，同时给前端服务的服务账号授予roles/run.invoker权限，允许它调用后端服务。
• GKE：直接使用Kubernetes服务名作为域名，比如http://backend.default.svc.cluster.local:8080（default是命名空间，需根据实际情况修改）。

3. 后端服务的访问权限配置 #

• 如果是Cloud Run，后端服务默认需要身份验证，前端服务无法直接访问。可暂时关闭后端的身份验证（测试用），或配置IAM权限让前端服务的服务账号有权调用后端。
• 如果是GKE，确保后端服务的ClusterIP类型服务没有被限制访问。

二、单容器部署失败的问题 #

将两个应用打包到同一个容器时，不能像Docker Compose那样自动启动两个进程，你需要解决以下问题：

1. 容器内进程管理 #

单个容器默认只能运行一个主进程，需使用进程管理器（如supervisord）同时启动后端和前端服务。示例supervisord.conf配置：

[supervisord]
nodaemon=true

[program:backend]
command=java -jar your-backend.jar
directory=/app/backend
stdout_logfile=/dev/stdout
stdout_logfile_maxbytes=0

[program:frontend]
command=nginx -g "daemon off;"
directory=/app/frontend
stdout_logfile=/dev/stdout
stdout_logfile_maxbytes=0

在Dockerfile中安装supervisord，并将其设置为ENTRYPOINT。

2. 端口暴露与GCP服务配置 #

• 在Dockerfile中添加EXPOSE 8080 80，确保两个端口都被暴露。
• 在GCP部署单容器服务时，配置端口映射：将外部端口（如80）映射到容器的80端口，另一个外部端口（如8080）映射到容器的8080端口（如需外部访问后端）。

三、额外排查点 #

• 检查后端服务日志，确认是否有来自前端的请求被拒绝或无法到达。
• 确认前端应用中配置的后端地址是否正确，不要使用本地的localhost:8080或backend:8080，需替换为GCP上的内部访问地址。

内容的提问来源于stack exchange，提问作者O Estudante