GCP CloudRun - 全部添加 NAT 网关或内部服务入口？

Question

在CloudRun中：

public-service 需要与 internal-service 和 internet

交谈

internal-service 与 internet

交谈

Option1：理想情况下，internal-service 的入口为 internal，但这样做时，public-service 需要 vpc-connector 的 all-traffic，这意味着它也需要添加了 NAT 网关。

Option-2：或者，internal-service 可以将入口设为 all 和 --no-allow-unauthenticated。

Option-1 看起来有点复杂。推荐什么？ Option-2 有哪些安全风险？

Answer 1

如果您的 VPC 中没有 IP 匹配，您的 VPC 包含一个默认路由，将流量转发到互联网

因此，您不需要 Cloud NAT。如果您想使用静态 IP 和您自己的 IP 而不是共享和随机 IP 访问互联网，则 Cloud NAT 非常有用。

选项 1 是最好的，没有 Cloud NAT 开销。

---

编辑 1

我确信默认的互联网路由不可删除。感谢您的评论，我检查了......不，您可以删除它。只有优先级为 0 的规则不可移除。

但这也意味着你可以像那样重新创建它

gcloud beta compute routes create default-to-internet \
 --network=default --priority=1000 --destination-range=0.0.0.0/0 \
 --next-hop-gateway=default-internet-gateway

留在选项 1 ;)