GKE容器化应用TCP连接Google SQL报OperationalError需授权哪个IP

核心原因 #

你之前添加的集群端点IP、Pod地址段、服务公网IP都不是GKE集群访问公网Cloud SQL的实际源IP：GKE的Pod访问公网资源时，默认会通过工作节点的公网IP做SNAT转发，因此上述IP授权均不生效。

可用解决方案 #

方案1：授权节点公网IP（不推荐）

将GKE集群所有工作节点的公网IP全部添加到Cloud SQL的授权网络列表即可正常连接。

• 缺陷：若集群开启了节点自动扩缩容，新增节点的公网IP会动态变化，需要频繁更新授权列表，稳定性极差。

方案2：Cloud SQL Auth Proxy（官方推荐）

这是谷歌官方推荐的GKE连接Cloud SQL的方案，无需配置授权网络，安全性更高：

• 将Cloud SQL Auth Proxy作为Sidecar容器与你的Flask应用部署在同一个Pod内
• 修改数据库连接配置，将DB_HOST改为127.0.0.1，端口保持默认3306即可，其余连接逻辑无需调整
• Auth Proxy会自动完成和Cloud SQL实例的加密连接，无需将数据库公网暴露给未知IP，也不用适配节点IP的动态变化

方案3：私有IP内网连接（性能最优）

如果你的GKE集群和Cloud SQL实例在同一个VPC下，或已配置VPC对等连接：

• 为Cloud SQL实例开启私有IP功能
• 将GKE集群的Pod地址段添加到Cloud SQL的授权网络中
• 修改DB_HOST为Cloud SQL的私有IP地址，即可走内网专线连接，延迟更低、安全性更高

你提供的数据库连接代码仅需调整DB_HOST的取值即可适配上述方案2、3，无需其他修改：

class Config(object):
    if os.environ.get('ENVIRONMENT') == 'production':
        log.debug("You're using the remote db URL!!!")
        db_user = os.environ.get("DB_USER")
        db_pass = os.environ.get("DB_PASS")
        db_name = os.environ.get("DB_NAME")
        db_hostname = os.environ.get("DB_HOST")
        db_port = os.environ.get("DB_PORT")

        SQLALCHEMY_DATABASE_URI = f"mysql+pymysql://{db_user}:{db_pass}@{db_hostname}:{db_port}/{db_name}"

你提到的集群地址段参考：

内容的提问来源于stack exchange，提问作者Khashhogi