谷歌云克隆磁盘创建的VM实例SSH连接报4003错误无法连接后端

错误根因说明 #

返回failed to connect to backend，Connection via Cloud Identity-Aware Proxy Failed错误码4003，本质是Cloud IAP代理无法和目标VM的22端口建立有效连接，在克隆源VM磁盘创建新VM的场景下，问题多出自配置继承冲突或者网络规则适配问题。

排查与修复步骤 #

• 检查VPC防火墙规则配置
  确认VPC入方向防火墙规则允许IAP官方地址段35.235.240.0/20访问目标VM的TCP 22端口，规则优先级需高于1000，目标范围覆盖对应新VM实例。
• 检查VM内部SSH服务状态
  源VM如果配置了静态IP、或者sshd服务绑定了源VM的固定内网地址，克隆到新VM后会因为IP不匹配导致sshd启动失败：

  可通过VM详情页的「远程访问-连接到串行控制台」直接登录实例内部
  登录后执行systemctl status sshd查看服务运行状态：

  • 若服务异常，修改/etc/ssh/sshd_config中的监听地址为0.0.0.0
  • 检查网卡配置文件（Debian/Ubuntu路径为/etc/netplan下的yaml文件，CentOS/RHEL路径为/etc/sysconfig/network-scripts/ifcfg-*），把静态IP配置修改为DHCP自动获取
    配置修改完成后执行systemctl restart sshd重启SSH服务，重启实例生效。
• 检查实例元数据配置
  确认新VM实例的元数据中enable-oslogin参数值为TRUE，没有被错误继承源VM的关闭配置。
• 检查账号权限
  确认当前操作账号持有roles/iap.tunnelResourceAccessor和roles/compute.instanceAdmin.v1权限，允许通过IAP隧道访问VM实例。

问题定位辅助方法 #

你可以在本地安装gcloud CLI后执行以下命令连接实例，输出的debug日志可以提供更精准的错误原因：
gcloud compute ssh [实例名称] --zone [实例所在可用区] --tunnel-through-iap --verbosity debug

内容的提问来源于stack exchange，提问作者Johnny