Ruby应用如何指定storage.googleapis.com特定IP创建GCS存储客户端

直接传IP作为endpoint返回bucket不存在，本质是HTTPS请求的两个关键字段配置错误：

• TLS握手时SNI默认传你填的IP，匹配不上GCS节点上storage.googleapis.com的域名证书，要么握手失败，要么证书校验不通过
• HTTP请求的Host头默认也传IP，GCS边缘网关是靠Host头路由到对应存储桶的，IP没绑定任何bucket路由规则，自然报不存在。

基于SDK底层的Faraday HTTP客户端自定义连接逻辑，强制TCP连接走筛选后的可用IP，同时保留正确的SNI和Host头，不需要修改原有业务调用逻辑。

1. 先完成IP解析和黑名单过滤

require 'socket'
require 'google/cloud/storage'

# 配置黑名单IP列表
BLACKLIST_IPS = ['172.253.62.128'].freeze
# 解析域名，过滤黑名单后取5-6个可用IP组成IP池
_, _, raw_ips = Socket.gethostbyname_ex("storage.googleapis.com")
AVAILABLE_IPS = raw_ips.reject { |ip| BLACKLIST_IPS.include?(ip) }.first(6)
raise "无可用GCS访问IP" if AVAILABLE_IPS.empty?

2. 初始化Storage客户端时自定义连接规则

storage = Google::Cloud::Storage.new(
  project_id: "你的GCP项目ID",
  credentials: "你的服务账号密钥路径"
) do |config|
  config.connections.default do |conn|
    # 从IP池随机选一个IP作为TCP连接目标
    target_ip = AVAILABLE_IPS.sample
    conn.url_prefix = URI("https://#{target_ip}")
    conn.adapter :net_http do |http|
      # 强制Host头为官方域名，保证GCS网关路由正常
      http.host_header = "storage.googleapis.com"
      # 强制TLS SNI为官方域名，保证证书校验通过
      http.sni_host = "storage.googleapis.com"
      # 保持默认证书校验逻辑，不降低安全性
      http.verify_mode = OpenSSL::SSL::VERIFY_PEER
    end
  end
end

3. 可选增强：加自动重试切换IP逻辑
   可以在Faraday中插入自定义重试中间件，当某个IP请求出现连接超时、连接拒绝、5xx错误时，自动从IP池中剔除故障IP，选择其他可用IP重试，实现故障自动转移。

如果不想修改业务侧SDK配置，可以在应用本地部署轻量DNS服务（比如dnsmasq），配置storage.googleapis.com的解析结果仅返回过滤掉黑名单后的可用IP，设置合理的TTL定期刷新IP列表。业务侧不需要修改任何GCS客户端代码，直接使用默认初始化逻辑即可，系统DNS会自动返回经过滤的IP。该方案完全和业务代码解耦，对所有语言的SDK都生效，缺点是需要额外维护本地DNS服务。

内容的提问来源于stack exchange，提问作者Amit Singh