确认可通过Cloud VPN连接本地网络的GCP资源及补充选项

核心问题验证 #

支持通过Cloud VPN访问本地网络的服务 #

• Google Compute Engine (GCE)实例：完全接入VPC环境，而Cloud VPN直接绑定VPC，因此天然支持访问VPN后方的本地网络，你的测试结果已验证这一点。
• Google App Engine (GAE)弹性环境：通过配置VPC Connector接入绑定Cloud VPN的VPC后，能够访问本地网络。这是因为弹性环境的运行实例本质上是GCE实例的封装，具备完整的VPC访问权限。

不支持的服务（与你的测试结果一致） #

• GAE标准环境：应用运行在Google托管的隔离环境中，即使配置VPC Connector，仅能访问GCP内部VPC资源，无法穿透Cloud VPN到本地网络。
• Cloud Functions：VPC Connector仅支持访问GCP VPC内的资源，无法通过Cloud VPN连接本地网络，目前无官方解决方案突破此限制。
• Cloud Run：与Cloud Functions逻辑一致，VPC Connector的访问范围被限制在GCP VPC内部，无法延伸到VPN后方的本地网络。

可选的替代GCP资源 #

除了你提到的GCE和GAE弹性环境，还有以下资源可实现需求：

• Google Kubernetes Engine (GKE)：无论是标准集群还是Autopilot集群，只要集群接入绑定Cloud VPN的VPC，集群内的Pod即可直接访问本地网络。适合需要容器化部署、水平扩展的应用场景。
• GCE实例组（Instance Group）：基于GCE的弹性扩展方案，继承GCE的VPC访问权限，可通过Cloud VPN访问本地网络，适合需要自动扩缩容的应用。
• VPC内中转代理：在VPC内的GCE实例上部署代理服务（如MySQL代理），让GAE标准环境、Cloud Functions或Cloud Run通过VPC Connector访问该代理，进而间接连接本地MySQL。这种方式可以在不迁移现有Serverless应用的前提下实现需求。

补充说明 #

Google官方文档未明确提及Serverless服务的VPC Connector能否访问Cloud VPN后方网络，核心原因是这类服务的VPC Connector采用"受限VPC访问"模式，仅开放GCP内部VPC资源的访问权限，不支持穿透到外部VPN网络。只有完全接入VPC的计算服务（如GCE、GAE弹性环境、GKE）才能利用Cloud VPN实现跨网络访问。

内容的提问来源于stack exchange，提问作者Chris Larabee