38、Google Cloud Platform网络开发指南

Google Cloud Platform网络开发指南

1. 后端服务与子网配置

后端服务和数据库可以部署在独立的子网中，且不分配外部IP地址。防火墙规则允许这些子网通过特定协议和端口进行通信，将对后端服务的访问限制在必要范围内。

对于没有公共IP地址的安全服务器，常见做法是创建一个堡垒服务器以进行SSH访问。不过，很多情况下，SSH访问仅用于不频繁的操作，如服务器配置。因此，可考虑按需创建堡垒服务器，并在使用完成后将其销毁。此外，采用不可变基础设施原则也能大大减少对堡垒服务器的需求。

2. 路由

防火墙规则决定了网络中实例可以发送和接收哪些数据包，而路由则决定了这些数据包如何在网络中传输。VPC网络会自动提供用于实例间内部流量导向的路由，以及将出站流量导向外部地址的路由。大多数情况下，这些默认路由足以处理网络流量。

可以通过执行 gcloud compute routes list 命令，或者在云控制台中导航至“导航菜单” -> “VPC网络” -> “路由”来查看路由。每条路由都包含目标IP范围、优先级、可选的实例标签和可选的下一跳，这些是路由的核心组件，共同决定了路由如何应用于网络流量。

路由配置为全局路由表，作用于各个实例。数据包在VPC网络中传输的每一步，都会使用路由表来确定下一跳。在更高级的场景中，可以通过添加自定义NAT映射、网关或VPN代理来配置路由，以塑造网络流量。

3. IP地址

Google Cloud Platform上的IP地址分为内部和外部、临时和静态、区域和全局等不同类型，不同组合服务于不同目的。许多G