GCP默认VPC创建的Allow-IAP防火墙规则跨VPC生效异常问题排查

问题原因说明 #

你观察到的现象不属于异常，是GCP防火墙规则作用范围的配置特性导致的，核心逻辑如下：

• GCP的全局防火墙规则支持将作用目标设置为「项目内所有实例」，如果默认VPC下的allow-ingress-from-iap规则选择了该目标，且优先级高于你在自定义VPC中配置的IAP规则，这条规则会优先生效于当前GCP项目下所有VPC的所有实例，不受规则所属VPC的限制。
• IAP控制台的端口警告触发逻辑为：只要实例匹配到任意一条优先级高于拒绝规则、允许IAP源段（35.235.240.0/20）访问所有端口的入站规则，就不会弹出端口不匹配警告。你将默认VPC的规则改回允许所有端口后，这条全项目生效的规则优先级高于自定义VPC内仅开放22、3389端口的IAP规则，因此所有VPC的实例都不会触发警告。

验证与修复方案 #

• 验证：打开默认VPC的allow-ingress-from-iap规则详情，查看「目标」配置项，若配置为所有实例即可确认符合上述逻辑。
• 修复：如果需要实现不同VPC的IAP规则隔离，将默认VPC的这条规则的目标修改为此VPC网络中的所有实例，保存后等待规则生效，自定义VPC内的实例就会重新出现预期的端口警告。

内容的提问来源于stack exchange，提问作者saurabh umathe