如何确保gsutil副本不使用外部Internet？

问题描述

我有一个使用this guide在GCP上构建的Minecraft服务器。它在GCP us-central1-f（Iowa）上运行，在us-central1（Iowa）上具有区域存储桶。我设置了一个cronjob来运行bash脚本，以每4小时使用gsutil将世界文件（大约2GB）备份到存储桶中。这是备份脚本：

#!/bin/bash
FILENAME=$(date "+%Y%m%d-%H%M%S")-world.tar.gz 

screen -r mcs -X stuff 'save-all flush\nsave-off\n'
tar -zcvf /home/minecraft/$FILENAME /home/minecraft/world /home/minecraft/world_nether /home/minecraft/world_the_end
/usr/bin/gsutil cp /home/minecraft/$FILENAME gs://path-to-bucket-minecraft-backup/$FILENAME 
screen -r mcs -X stuff 'save-on\n'
rm /home/minecraft/$FILENAME

我已经用这种方式运行了大约一个月，我注意到我要为数百GB的外部网络出口付费，而在Minecraft服务器上只有5-10个用户。我联系了GCP支持人员，他们确认了网络数据正在传输到存储桶，这显然是通过Internet进行的。他们的建议是将Private Google Access配置为使用gsutil。

我与另一位GCP支持代表一起尝试执行此操作：

• 我们编辑了服务器VM实例，并将“ Cloud API访问范围”设置为“允许对所有Cloud API的完全访问权限”
• 我们进入了默认VPC网络，并为us-central1启用了“私人Google Access”。
• 我们禁用了外部IP，并确认我能够将文件复制到存储桶，因此备份可以在内部网络上运行。

根据Configuring Private Google Access上的文档，具有为其网络接口分配了外部IP地址的VM不需要私有Google Access即可连接到Google API和服务。 GCP支持人员没有办法确定备份流量现在是通过内部还是外部链路传输。他们向我指出了Stack Overflow的帮助。

所以我想我的问题是，我该怎么做才能确保使用gsutil cp的备份通过内部网络传输，并且不通过Internet传输？我需要调整路由吗？我已经阅读了documentation on gsutil，但对于如何指定流量如何却一无所获。

提前感谢您的帮助！

解决方法

根据官方文档：

Private Google Access

仅具有内部IP地址（无外部IP）的VM实例 地址）可以使用Google私有访问。他们可以达到外部 Google API和服务的IP地址。 ...

私有Google Access 对具有外部实例的实例无效 IP 地址。具有外部IP地址的实例可以访问 互联网，根据互联网访问要求。他们不 需要任何特殊配置以将请求发送到外部IP Google API和服务的地址。

因此，我相信只有在您的VM具有内部IP地址的情况下，您才能在内部网络上使用gsutil。