Google Cloud Compute中Go Web服务的HTTP转HTTPS配置咨询

你之前的转发规则配置存在逻辑问题——target-http-proxy是用来处理HTTP流量的，却绑定了HTTPS服务的3000端口，而且没有配置HTTP到HTTPS的重定向规则。下面提供两种可行的方案，你可以根据自己的场景选择：

方案一：在Go代码中直接实现重定向（简单快捷，适合测试/小型服务） #

既然你的HTTP服务监听8080端口，HTTPS服务监听3000端口，最简单的方式就是让8080的HTTP服务收到请求后，直接返回301永久重定向到HTTPS地址。

修改你的Go代码，添加HTTP重定向逻辑：

package main

import (
	"log"
	"net/http"
)

func main() {
	// 启动HTTP服务，专门处理重定向到HTTPS
	go func() {
		http.HandleFunc("/", func(w http.ResponseWriter, r *http.Request) {
			// 构建HTTPS目标地址，替换成你的域名或公网IP
			httpsHost := r.Host
			// 如果公网HTTPS用非默认443端口，需要加上端口（比如":3000"），建议优先用443配合GCE端口转发
			httpsURL := "https://" + httpsHost + r.URL.Path
			if r.URL.RawQuery != "" {
				httpsURL += "?" + r.URL.RawQuery
			}
			http.Redirect(w, r, httpsURL, http.StatusPermanentRedirect)
		})

		if err := http.ListenAndServe(":8080", nil); err != nil {
			log.Fatalf("HTTP redirect server failed to start: %v", err)
		}
	}()

	// 启动你的HTTPS服务（原有的3000端口逻辑）
	err := http.ListenAndServeTLS(":3000", "your-cert.pem", "your-key.pem", nil)
	if err != nil {
		log.Fatalf("HTTPS server failed to start: %v", err)
	}
}

配套GCE配置 #

1. 端口转发：在GCE实例的网络设置中，配置端口转发规则：
   • 公网80端口 → 实例8080端口
   • 公网443端口 → 实例3000端口
2. 防火墙规则：创建允许公网访问80和443端口的规则：

   gcloud compute firewall-rules create allow-public-http-https \
     --allow=tcp:80,tcp:443 \
     --source-ranges=0.0.0.0/0 \
     --target-tags=your-instance-tag
   

方案二：使用GCE负载均衡实现重定向（生产环境推荐，更稳定可靠） #

如果是生产环境，建议用GCE的负载均衡来统一处理HTTP到HTTPS的重定向，这样不需要修改代码，而且能实现更灵活的流量管理。

步骤1：准备SSL证书 #

先把你的SSL证书上传到GCE的SSL证书管理器：

gcloud compute ssl-certificates create your-ssl-cert \
  --certificate=your-cert.pem \
  --private-key=your-key.pem \
  --global

步骤2：创建后端服务（关联你的HTTPS服务） #

假设你的GCE实例已经加入了实例组，创建后端服务指向实例的3000端口：

# 先创建健康检查（可选但推荐）
gcloud compute health-checks create tcp https-health-check \
  --port=3000 --global

# 创建后端服务
gcloud compute backend-services create https-backend-service \
  --global --health-checks=https-health-check

# 添加实例组到后端服务
gcloud compute backend-services add-backend https-backend-service \
  --global \
  --instance-group=your-instance-group \
  --instance-group-zone=your-instance-zone

步骤3：配置HTTP到HTTPS的重定向URL Map #

# 创建URL Map，默认所有请求重定向到HTTPS
gcloud compute url-maps create http-to-https-redirect-map \
  --default-redirect-https

步骤4：创建Target Proxy #

• HTTP代理：关联重定向URL Map

  gcloud compute target-http-proxies create http-redirect-proxy \
    --url-map=http-to-https-redirect-map
  

• HTTPS代理：关联后端服务和SSL证书

  # 先创建HTTPS的URL Map（直接指向后端服务）
  gcloud compute url-maps create https-url-map \
    --default-service=https-backend-service
  
  # 创建HTTPS代理
  gcloud compute target-https-proxies create https-proxy \
    --url-map=https-url-map \
    --ssl-certificates=your-ssl-cert \
    --global
  

步骤5：创建转发规则 #

• HTTP转发规则（80端口）：

  gcloud compute forwarding-rules create http-forward-rule \
    --global \
    --address=your-static-ip \
    --ip-protocol=TCP \
    --ports=80 \
    --target-http-proxy=http-redirect-proxy
  

• HTTPS转发规则（443端口）：

  gcloud compute forwarding-rules create https-forward-rule \
    --global \
    --address=your-static-ip \
    --ip-protocol=TCP \
    --ports=443 \
    --target-https-proxy=https-proxy
  

步骤6：配置防火墙允许负载均衡流量 #

允许GCE负载均衡的IP段访问实例的3000端口：

gcloud compute firewall-rules create allow-lb-to-https-service \
  --allow=tcp:3000 \
  --source-ranges=130.211.0.0/22,35.191.0.0/16 \
  --target-tags=your-instance-tag

这样配置后，所有公网80端口的HTTP请求都会被负载均衡重定向到443端口的HTTPS服务，流量最终转发到你实例的3000端口。

内容的提问来源于stack exchange，提问作者Sheldon Goldberg