为何Computer Engine实例状态正常但运行数小时后全端口不可用、IP无法ping通？

优先核查平台侧拦截状态 #

结合你之前收到过挖矿行为违规通知的历史，这类问题优先排查平台自动安全拦截，不要上来就改系统配置：

• 打开Cloud控制台的通知中心，查看实例失联前后是否触发了自动安全策略：很多时候平台的入侵检测系统一旦发现实例存在挖矿流量、未授权反弹连接，会直接在公网网关层丢弃所有发往该实例IP的数据包，此时控制台实例状态仍显示为正常运行，但公网层面已经完全不可达
• 检查项目的VPC网络配额、外部IP地址的状态，确认是否因为异常流量触发了IP临时黑洞机制
• 核对Cloud Logging里的安全告警记录，确认拦截触发的时间点和你发现网络不通的时间是否匹配

失联后的第一层连通性测试 #

不要直接从本地公网ping测判断问题，按顺序缩小排查范围：

• 从同VPC同区域内的其他正常运行实例，通过内网IP测试目标实例的连通性，如果内网可以正常访问、仅公网不通，说明是VPC层或平台层的入向流量被拦截，和实例本身的系统配置无关
• 如果内网也无法连通，立刻使用GCE提供的串行端口控制台通道登录系统，该通道不经过公网网络，不会被外部防火墙规则阻断，可以在实例SSH不通的时候直接获取系统访问权限

登录系统后的本地异常排查 #

通过串行控制台进入系统后，依次核查本地配置和异常进程：

• 检查本地防火墙规则执行状态：执行iptables -L -n -v、ufw status 或 firewall-cmd --list-all，确认是否有异常脚本自动将所有入向流量设置为DROP策略——很多入侵后的木马会通过阻断其他所有端口的访问，隐藏自身的挖矿进程
• 排查异常进程和定时任务：检查系统当前的高CPU占用进程、/tmp、/var/tmp等临时目录下的未知可执行文件，核对crontab、systemd定时任务中是否有预设的数小时后执行的脚本
• 查看当前系统的网络连接状态：执行ss -tunlp，确认是否存在连接到陌生境外IP的出站连接，尤其是已知矿池的地址段，这类出站流量一旦触发平台检测，会直接导致公网访问中断
• 核对VPC防火墙规则：确认之前配置的允许入向流量的规则是否被异常删除，是否新增了全拒绝的入向规则

根因解决的实操动作 #

完成排查后按以下操作避免问题反复出现：

• 不要使用之前备份的自定义镜像重建实例，直接选用Google官方提供的全新公共镜像初始化系统，排除镜像本身内置后门的风险
• 给实例绑定最小权限的服务账号，仅授予运行当前业务必需的权限，避免实例被攻破后攻击者拿到项目级权限修改网络规则
• 开启VPC流日志和防火墙规则日志，所有入向、出向的流量包全部留存日志，后续出现网络阻断时可以直接定位到丢包的具体规则
• 立即轮换项目下所有的API密钥、服务账号密钥，避免之前被攻破实例泄露的凭证被持续利用，反复获取项目权限操作

提示：结合你之前的违规历史，这类问题的最高发根因是重建实例后部署的业务存在公开可利用漏洞，在上线数小时内被全网扫描攻破，攻击者植入挖矿程序后触发平台的自动安全拦截，最终表现为全端口不可达、ping不通的状态。

内容的提问来源于stack exchange，提问作者oldSmokeGun