GCP：仅在 VM 之间连接（不允许外部 IP）

Question

目前：这是我的 GCP 设置。

• 2 个虚拟机（1 个在美国区域，1 个在欧洲区域），上面有 nodejs 服务器

• 1 个带有 haproxy 的虚拟机（与 redis 位于同一区域）

• 1 个 redis 云内存存储（与之前的 VM 位于同一区域）

因为您只能通过与 redis 服务器位于同一区域的 VM 连接到 redis 服务器（在 GCP 中），所以我使用 VM（与 redis 服务器位于同一区域）作为反向代理。这行得通！我可以将其他地区的VM/nodejs连接到redis服务器。

问题是：每个人现在都可以（通过反向代理VM的公共IP地址）连接到redis服务器，这不是我想要的。我只希望虚拟机能够连接。

注意：我使用虚拟机组，它们是动态的。当负载很重时，会创建新的 VM（具有新的公共 IP），因此我无法将公共 IP 添加到防火墙规则中，因为它们会发生变化（很多）。是否有可能创建仅接受来自 GCP 虚拟机的 IP 地址的防火墙规则（或其他规则），以便只有来自 GCP 的虚拟机（我的虚拟机）才能连接到反向代理？

提前致谢。

编辑

如果我向虚拟机添加标签，并且只允许在防火墙规则中使用这些标签的虚拟机，那可以选择吗？

Answer 1

当然，您可以添加特殊标签来识别您的反向代理（例如带有标签 reverse proxy）和您的客户端虚拟机（例如带有标签 client_vm）。

然后您可以添加允许Inbound 流量的防火墙规则，例如source tags: client_vm 和target tags: reverse_proxy，用于tcp:ssh 端口。

如果SSH 和ip source: 0.0.0.0/0 上没有任何其他防火墙规则，则您的虚拟机将无法从公共 IP 访问。