GCP Workflows能否通过私有IP访问Compute Instance部署的API

1. 标准http.get库对Compute Instance内部IP访问的支持性 #

标准http.get库本身没有对私有IP地址做调用限制，默认配置下无法访问的核心原因是网络路由不通，而非库本身不支持。
Workflows默认的执行环境运行在Google托管的公共服务网络中，不属于用户私有VPC内的资源，没有VPC内部路由权限，直接发起对私有IP的请求时，流量无法送达VPC内的Compute Engine实例，就会抛出ConnectionError。
完成对应网络配置后，http.get可以正常通过私有IP调用实例上部署的API。

2. GCP Workflows私有IP访问的相关限制 #

导致私有IP访问失败的限制主要有三类：

• 网络隔离限制：未配置VPC出口的Workflows执行环境和用户VPC完全网络隔离，既无法解析VPC内的私有DNS记录，也没有路由可达VPC内的私有IP段，这是最常见的报错原因。
• 连接器配置限制：要打通私有网络访问，必须在和目标实例相同的区域创建Serverless VPC Access连接器，将Workflows的VPC出口绑定到该连接器，且连接器的IP段不能和目标VPC的现有IP段冲突；如果使用共享VPC，还需要提前配置跨项目的连接器访问权限。
• 防火墙限制：配置VPC连接器后，还需要放通两类防火墙规则：一是VPC层面的入站规则，允许连接器IP段访问目标Compute实例上API对应的服务端口；二是实例操作系统层面的本地防火墙（如ufw、firewalld），放通对应内部IP段的端口访问权限。另外还要确认实例上部署的API服务没有仅绑定127.0.0.1回环地址，需要监听0.0.0.0或实例对应的私有IP地址。

验证小技巧：配置完VPC连接器后，可以先在Workflows里加一个调用同VPC内其他已知正常服务的测试步骤，先确认VPC链路本身连通，再排查目标API的服务、防火墙配置问题。

内容的提问来源于stack exchange，提问作者Leandro Gianotti