GCP IAP是否可无需Interconnect/Cloud VPN对接公网IP本地应用？

可以直接为拥有公网IP的本地应用配置IAP，无需强制搭配Interconnect或Cloud VPN使用，你设想的配置逻辑完全符合官方支持的场景。

相关细节说明 #

• IAP对接本地应用本身支持两类网络路径：一类是通过Interconnect/Cloud VPN打通本地与GCP VPC的私有链路对接，另一类就是你提到的公网直连模式，官方文档未强制要求私有链路，是因为两类模式均为合规的支持方案。
• 你梳理的配置逻辑验证：
  • 本地应用持有公网IP是该模式的基础前提，无需额外调整本地网络的出口架构
  • 本地防火墙仅放行Google公开的IAP预留IP段的访问规则，可有效过滤非IAP来源的公网请求，注意要定期同步Google官方更新的IAP IP范围避免规则失效；同时建议本地应用额外校验IAP请求的签名头，进一步避免绕过IAP的攻击风险
  • IAP的流量转发逻辑与你描述一致：所有用户流量首先进入IAP完成身份认证、权限校验，通过后会附加包含用户身份信息、防篡改签名的专属IAP请求头，再转发至你配置的本地应用公网IP
• 额外注意事项：
  • 需确保本地应用的公网IP未被运营商或上级网络设备拦截Google边缘节点的访问请求
  • 该模式下IAP到本地应用的流量默认走公网加密传输，仅当你有更高的安全合规要求时，才需要额外配置Interconnect/Cloud VPN走私有链路
  • 该对接模式与私有链路模式的BeyondCorp Enterprise许可要求一致，无需额外购买其他服务许可

内容的提问来源于stack exchange，提问作者Marcin k