【发布时间】：2021-11-28 18:48:06
【问题描述】：
我在 Google 云中创建了一个 VM 实例，并使用所有必要的软件对其进行了正确配置。然后，我克隆了它的磁盘并使用克隆的磁盘创建了一个新的 VM 实例；但是，当我尝试通过 SSH 按钮连接新实例时，它没有成功并显示代码 4003。原因：无法与后端连接。通过 Cloud Identity-Aware 代理连接失败。
【问题讨论】：
【发布时间】：2021-11-28 18:48:06
【问题描述】：
当实例没有公网IP地址时，浏览器中的SSH需要通过IAP转发SSH连接。错误“无法连接到后端”表示 IAP 代理服务无法打开与实例的 TCP 连接。
确保您具有允许 Cloud Identity-Aware Proxy (IAP) 连接到实例上的端口 22 的防火墙规则。
创建防火墙规则
要允许 IAP 连接到您的虚拟机实例，请创建防火墙规则：
- 适用于您希望使用 IAP 访问的所有 VM 实例。 \
- 允许来自 IP 范围 35.235.240.0/20 的入口流量。此范围包含 IAP 用于 TCP 转发的所有 IP 地址。 \
- 允许连接到您希望使用 IAP TCP 转发访问的所有端口，例如，用于 SSH 的端口 22 和用于 RDP 的端口 3389。
要允许 RDP 和 SSH 访问您网络中的所有 VM 实例，请执行以下操作：
- 打开防火墙规则页面并点击创建防火墙规则
- 配置以下设置：
名称：allow-ingress-from-iap
流量方向：入口
目标：网络中的所有实例
来源过滤器：IP 范围
来源 IP 范围：35.235.240.0/20
协议和端口：选择 TCP 并输入 22,3389 以允许 RDP 和 SSH。 - 点击创建。
如果您尚未启用 IAP，您可以参考此链接 Enabling IAP for Compute Engine。您还可以在左侧窗格中查看/浏览其他相关的 IAP 指南。
【讨论】：