Terraform部署GCP VM后SSH间歇性无法连接问题求助

我之前在GCP上用Terraform批量部署VM的时候也碰到过几乎一模一样的问题！当时折腾了好一阵才搞明白原因，给你分享几个排查和解决的思路：

1. GCP SSH密钥同步延迟 #

这应该是最常见的原因。当你用Terraform创建VM时，GCP需要把项目级或者实例级的SSH密钥同步到VM的~/.ssh/authorized_keys文件里，这个同步过程在批量创建实例时偶尔会有几秒到几分钟的延迟。而Web SSH是通过GCP的内部代理直接连接的，不需要等本地密钥文件同步完成，所以这时候只有Web SSH能登。

解决方法： #

• 在Terraform里给密钥同步留足时间，可以用null_resource配合睡眠命令：

  resource "null_resource" "wait_for_ssh_sync" {
    depends_on = [google_compute_instance.vm_instances] # 替换成你的实例资源名
    provisioner "local-exec" {
      command = "sleep 120" # 先等2分钟，根据实际情况调整，最多5分钟
    }
  }
  
  # 让你的配置provisioner依赖这个等待资源
  resource "null_resource" "configure_vms" {
    depends_on = [null_resource.wait_for_ssh_sync]
    # 这里放你的SSH配置逻辑
  }
  

• 另外，确保Terraform创建实例时正确传递了SSH密钥，比如实例的metadata配置：

  resource "google_compute_instance" "vm_instances" {
    # ...其他配置
    metadata = {
      ssh-keys = "${var.ssh_username}:${file(var.ssh_public_key_path)}"
    }
  }
  

2. VM的sshd服务未完全初始化 #

如果你的VM用了自定义镜像，或者启动脚本里有比较耗时的操作（比如安装软件、配置环境），可能会导致sshd服务还没完全启动就尝试外部SSH连接，这时候会连接失败，但Web SSH因为是GCP内部通道，可能能更早访问到实例。

解决方法： #

• 在Terraform的remote-exec provisioner里增加重试机制，让它自动重试直到连接成功：

  provisioner "remote-exec" {
    connection {
      type        = "ssh"
      user        = var.ssh_username
      private_key = file(var.ssh_private_key_path)
      host        = self.network_interface.0.access_config.0.nat_ip
      timeout     = "10m"       # 最长等10分钟
      retry_delay = "30s"       # 每30秒重试一次
    }
    inline = [
      # 你的配置命令，比如安装nginx：
      "sudo apt update && sudo apt install -y nginx"
    ]
  }
  

• 也可以在VM的启动脚本里加个等待sshd就绪的逻辑：

  # 启动脚本内容
  while ! systemctl is-active --quiet sshd; do
    sleep 1
  done
  # 后续的启动配置
  

3. 防火墙规则延迟生效（可能性较低） #

虽然少见，但有时候GCP的防火墙规则（允许22端口的SSH访问）在批量创建实例时，规则同步到实例所在的节点会有延迟，导致外部SSH无法连接，而Web SSH走内部通道不受影响。

解决方法： #

• 确保Terraform里的防火墙规则在实例创建前就已经创建完成，用depends_on明确依赖关系：

  resource "google_compute_instance" "vm_instances" {
    depends_on = [google_compute_firewall.allow_ssh]
    # ...其他配置
  }
  
  resource "google_compute_firewall" "allow_ssh" {
    name    = "allow-ssh"
    network = google_compute_network.default.name
    allow {
      protocol = "tcp"
      ports    = ["22"]
    }
    source_ranges = ["0.0.0.0/0"] # 根据实际需求限制IP范围
  }
  

总结 #

最大概率是SSH密钥同步延迟导致的，先试试给Terraform加个等待机制，基本就能解决问题。如果还是不行，再排查sshd启动和防火墙的问题。

内容的提问来源于stack exchange，提问作者Nopx