GCP单VM配置多静态公网IP 转发IP可ping通但端口无响应排查

首先明确两个核心结论：

1. GCP单网卡（nic0）完全支持多外部IP映射配置，不需要在VM操作系统内手动添加额外静态路由，系统默认的元数据路由即可正常处理转发规则、负载均衡送入的流量。
2. 可ping通但所有TCP/UDP端口无响应，说明网络二层/三层连通性正常，故障点集中在四层流量拦截、配置不匹配两类场景，按以下优先级逐一排查即可定位：

• 校验目标实例（target-instance）配置
  检查目标实例的NAT策略配置，不要设置为NO_NAT模式：如果配置为NO_NAT，送入VM的流量源地址会保留客户端真实公网IP，若本地没有对应回程路由就会出现端口无响应的问题；同时确认目标实例关联的VM实例链接正确，没有错绑其他实例。
• 校验转发规则/负载均衡前端的协议配置
  不要只配置ICMP协议放行：如果转发规则或LB前端规则只勾选了ICMP，就会出现ping正常、所有TCP/UDP端口不通的现象，需将协议设置为支持TCP+UDP+ICMP的全协议模式，或单独放行需要的TCP/UDP端口对应协议。
• 校验VPC防火墙规则生效范围
  你提到IP A访问正常、已放通HTTP流量，需额外确认防火墙规则的源地址段没有仅限制IP A的访问源、规则关联的目标标签/服务账号100%覆盖当前VM实例；可开启VPC流日志查看IP B对应的TCP SYN报文是否在VPC层面被丢弃，若被丢弃直接调整对应优先级的防火墙规则即可。
• 校验VM操作系统本地防火墙
  这是该场景最高发的故障诱因：IP A是直接关联网卡的主外部IP，多数系统默认防火墙（Linux下的iptables、ufw、firewalld，Windows下的Defender防火墙）默认对非主IP映射送入的流量有拦截规则。可临时关闭OS层面防火墙测试，若端口恢复访问，新增对应入站放通规则即可，不需要调整路由。
• 校验业务服务监听配置
  确认VM上部署的业务服务没有仅绑定IP A对应的内网IP地址，需将服务监听地址设置为0.0.0.0（全地址监听），否则流量到达主机后也无法被对应服务接收处理。

补充：你更换为负载均衡+前端IP的方案后故障依旧，可直接排除转发规则本身的配置问题，优先排查OS防火墙、服务监听地址、VPC防火墙源范围三个共性影响项。

内容的提问来源于stack exchange，提问作者Karl kno