GCP创建Windows Server 2012 VM激活失败，是否需开启VPC私有访问？

核心结论 #

不需要开启VPC子网的Google私有访问（Private Google Access）。该功能仅为无公网IP的实例提供访问Google公有服务的能力，你的VM已经配置了临时公网IP，走公网链路即可访问Google KMS激活服务，激活失败是其他配置问题导致。

排查步骤 #

• 首先验证KMS服务端口连通性：ping通仅代表ICMP协议可达，KMS激活依赖TCP 1688端口，可在VM的PowerShell中执行以下命令验证端口连通性：

  Test-NetConnection 35.190.247.13 -Port 1688
  

  若返回的TcpTestSucceeded值为False，说明TCP 1688端口被拦截，按以下顺序排查：
  1. 检查GCP VPC出口防火墙规则：确认存在允许VM所在子网、出站方向、目标IP为35.190.247.13/32、TCP 1688端口的放行规则
  2. 检查Windows系统本地防火墙：确认出站规则未拦截TCP 1688端口，可临时关闭本地防火墙做验证测试
• 若端口连通正常仍激活失败，检查KMS配置有效性：
  1. 确认当前使用的Windows镜像为GCP官方公共镜像，自定义/自行上传的镜像需要先配置对应Windows版本的GVLK通用激活密钥，再重新执行激活命令：

     cscript \windows\system32\slmgr.vbs /ipk <对应Windows Server 2012版本的GVLK密钥>
     cscript \windows\system32\slmgr.vbs /skms 35.190.247.13:1688
     cscript \windows\system32\slmgr.vbs /ato
     

  2. 查看系统应用事件日志，筛选来源为Security-Licensing-SLC的事件，根据具体错误码做对应排查。

内容的提问来源于stack exchange，提问作者PJS