Google HTTP负载均衡返回401 Unauthorized问题排查求助

嘿，针对你遇到的HTTP负载均衡返回401 Unauthorized的问题，我结合GCP的实际使用场景给你梳理几个靠谱的排查方向：

401本质就是认证失败，咱先盯着API本身的认证逻辑看：

• 你请求里带了key=AIzaSyC3xxxxxxMHNAxKM这个API密钥，先去GCP控制台的API密钥页面确认：
  • 这个密钥是不是有效的，有没有被禁用或删除
  • 对应的目标API服务有没有被启用（比如你的GetAccountTransaction接口关联的服务）
  • 密钥有没有设置IP限制？如果有，得确保发起请求的客户端IP在允许列表里（毕竟负载均衡转发请求时，后端收到的源IP是客户端真实IP，不是负载均衡的IP）
• 去后端实例的应用日志里挖细节，看看API服务收到请求后，具体是因为密钥无效、权限不够还是其他原因拒绝的，Stackdriver日志里如果有statusDetails这类字段，也重点看看。

别小看路由规则，有时候路径匹配错了，请求可能没到你预期的后端实例组：

• 去GCP负载均衡的后端服务配置里，检查路径匹配规则：比如是不是精确匹配了/api/GetAccountTransaction，还是用了/api/*这类前缀匹配？有没有多打了斜杠或者拼写错误？
• 查Stackdriver的负载均衡日志，看看这个请求最终被路由到了哪个后端服务，确认是不是目标实例组（万一误路由到后端存储桶，也可能出现权限类错误）。

有些API依赖特定的请求头做认证，比如Authorization或者自定义的认证头，负载均衡如果瞎改这些头就会出问题：

• 看HTTP(S)代理的配置，有没有设置请求头的添加/移除规则，是不是无意中把认证相关的头给删了？
• 确认客户端发送的认证头（比如如果除了API密钥还有其他头）有没有被负载均衡正确转发到后端。

虽然你开了80端口的外部访问，但负载均衡的请求转发有特定的IP范围要求：

• 检查后端实例的防火墙规则，有没有允许来自GCP负载均衡的IP段（130.211.0.0/22和35.191.0.0/16）
• 确认后端实例的网络标签是不是正确关联到了允许负载均衡访问的防火墙规则上。

如果能拿到Stackdriver日志里更详细的错误字段，比如后端返回的具体错误信息，排查起来会更快哦！

内容的提问来源于stack exchange，提问作者kanagaraj palanisamy