从Cloud Function访问GKE资源遇Serverless VPC错误，寻求可行替代方案

API 探路者

2026-9-30

Cloud Function 访问 GKE 资源的可行解决方案

你遇到的 Serverless VPC 连接器无法正确路由到 GKE 集群内部网段的问题，可通过以下几种方案实现访问需求：

方案1：GKE公共端点+IP白名单+身份授权
开启GKE集群公共访问端点，在集群授权网络配置中添加对应区域的Cloud Function出口IP段，同时配合Workload Identity实现Cloud Function对GKE API的身份认证，避免明文传递密钥。该方案配置成本低，适合GKE集群允许公网暴露访问入口的场景。
方案2：为Serverless VPC连接器绑定Cloud NAT
给Serverless VPC Access连接器所在的子网绑定Cloud NAT，配置NAT转发规则允许连接器的所有出口流量定向到GKE集群所在的VPC网段，配置完成后重启Cloud Function实例触发网络规则生效即可。该方案无需修改业务代码，也不需要暴露GKE公网入口。
方案3：用Cloud Run替代Cloud Function部署业务
Cloud Run的VPC接入默认支持全VPC网段路由，天然兼容GKE的Pod、Service网段，无需额外配置路由规则。你可以直接将原有Cloud Function的代码打包为容器镜像部署到Cloud Run，开启VPC访问后即可直接内网访问GKE资源，整体改造成本极低。
方案4：VPC内部署中转代理
在和GKE集群同VPC的GCE实例上部署Nginx/Envoy作为代理，将GKE的API或者服务端口暴露给代理实例，再配置Cloud Function的Serverless VPC连接器路由到代理实例的IP，通过代理转发请求到GKE资源。该方案适合需要精细化控制访问权限的场景，性能损耗可控。