如何自动获取Terraform执行环境公网IP并添加至GCP防火墙source_range？

我懂你不想依赖那些外部IP查询服务，还想自动把Terraform运行环境的公网IP加到GCP防火墙的source_range里的需求。下面给你几个可行的方案，尤其是针对GCP生态内的执行场景：

方案1：利用GCP元数据服务器（适用于GCE实例/Cloud Shell/GKE Pod等GCP内部环境） #

如果你的Terraform是在GCP自家资源里运行的——比如Cloud Shell、GCE虚拟机，或者有权限访问元数据的GKE Pod——那直接用GCP的元数据服务器就搞定了，这个是GCP内部服务，完全不需要碰外部网站。

具体实现： #

先通过Terraform的http数据源拉取当前实例的公网IP：

data "http" "instance_public_ip" {
  url = "http://metadata.google.internal/computeMetadata/v1/instance/network-interfaces/0/access-configs/0/external-ip"

  # 元数据服务器要求必须带这个请求头
  request_headers = {
    "Metadata-Flavor" = "Google"
  }
}

# 把获取到的IP转成防火墙规则需要的CIDR格式
locals {
  public_cidr = "${chomp(data.http.instance_public_ip.response_body)}/32"
}

接着在防火墙规则里直接引用这个本地变量就行：

resource "google_compute_firewall" "allow_my_ip" {
  name    = "allow-my-ip"
  network = "default"

  allow {
    protocol = "tcp"
    ports    = ["22", "80"] # 按需调整你要开放的端口
  }

  source_ranges = [local.public_cidr]
}

这样每次运行Terraform时，都会自动从元数据服务器拉取当前环境的公网IP，再也不用手动改terraform.tfvars了。

方案2：本地执行环境（无GCP元数据访问权限时） #

如果是在本地机器跑Terraform，又不想用外部IP查询服务，这事确实有点麻烦——毕竟本地机器的公网IP大多是NAT后的，本地网卡只能拿到内网IP，没法直接获取公网IP。不过有两个替代思路：

• 调用本地路由器的API/命令：如果你家或者办公的路由器支持管理API，或者能通过SSH执行命令获取公网IP，可以写个小脚本调用，再用Terraform的external数据源执行这个脚本。举个例子：

data "external" "local_public_ip" {
  program = ["bash", "-c", "ssh admin@your-router-local-ip 'show public-ip'"]
}

locals {
  public_cidr = "${data.external.local_public_ip.result.ip}/32"
}

这个方案完全不依赖外部服务，但前提是你的路由器支持相关操作，而且Terraform运行环境能访问到路由器。

• 给本地机器绑定静态公网IP：如果你的本地机器有固定的公网IP，直接把这个IP写在变量里就行——虽然不是动态获取，但只要IP不变，就不用手动修改。

方案3：用GCP Cloud Build+静态出站IP（适合CI/CD自动化） #

如果是用Cloud Build来自动运行Terraform，可以给Cloud Build配置静态出站IP，这样防火墙规则直接指向这个固定IP就行，根本不用动态获取。大致步骤是：

1. 创建一个Cloud NAT网关，配置好静态IP地址
2. 给Cloud Build配置使用这个NAT网关对应的专用网络
3. 防火墙规则的source_ranges直接设为这个静态IP的CIDR

这个方案适合完全自动化的CI/CD流程，IP固定，省心又可靠。

内容的提问来源于stack exchange，提问作者DiegoBulhoes