GCP 免费套餐莫名扣费？揭秘 Carrier Peering Network 流量陷阱

最近看到不少朋友在折腾各大云厂商的免费套餐，Google Cloud Platform（GCP）的 Always Free 免费层级因为送了一台 e2-micro 实例，确实很有吸引力。但是，很多人开心地部署完服务，几个月后却发现信用卡被扣了几刀，账单明细里赫然写着：Network Data Transfer Out via Carrier Peering Network。

示例账单中出现的 'Network Data Transfer Out via Carrier Peering Network' 扣费项目

这到底是个什么鬼？为什么免费的套餐会产生这种费用？今天我们就来扒一扒这个隐藏的“吞金兽”，顺便聊聊怎么配置才能稳稳地白嫖。

一、 这笔费用是怎么产生的？

首先，我们要明确 GCP 的免费流量规则。GCP 的免费额度通常是涵盖标准互联网出站流量的（即去往普通公网 IP 的流量）。但是，**Carrier Peering Network（运营商对等网络）**并不在这个范围内。

在 GCP Billing 页面通过 Reports 分析流量费用

简单来说，如果你的数据流量不是经过标准的互联网路由，而是通过 Google 与某些运营商（ISP）专线对等网络传输出去的，这部分流量就可能产生额外费用。这种情况通常发生在访问某些特定网络环境或者使用了特定类型的加速服务时。

常见的原因包括：

1. VPN 节点流量回源：如果你在 GCP 上搭建了节点，而本地访问连接到了某些对等网络路径，就会产生这种扣费。
2. 特定内容的抓取或代理：某些目标服务器可能连接在 Peering 网络上，当你拉取数据或转发流量时，数据走了“高速路”，自然就要收费。
3. 容器镜像拉取：在某些罕见情况下，大规模拉取特定区域的容器镜像也可能触发此类路由。

二、 如何排查是谁在“偷”流量？

既然发现扣费了，首先要搞清楚是哪个实例、哪个服务在往外吐流量。GCP 的控制台其实提供了很详细的账单分析工具，不要只盯着账单发愁。

1. 查看 Billing Reports 进入 GCP Console 的 Billing 页面，选择“Reports”。在左侧的 Group By 菜单中，先选择 SKU，找到那个让你扣费的 SKU 名称，然后再添加 Project 和 Instance ID 进行分组。

这样你就能一眼看到，到底是哪个项目下的哪台虚拟机在产生流量。

2. 使用 VPC Flow Logs（进阶） 如果报表还不够详细，建议开启 VPC Flow Logs。开启后，虽然可能会产生一点点日志存储费用（或者你可以通过导出至 Cloud Storage 的方式用免费额度覆盖），但它能记录下每一个数据包的来源和目的地 IP。

通过分析日志，你可以精准定位那个倒霉的 Peer IP，然后决定是封禁它还是调整服务配置。

三、 避坑指南：白嫖党的安全配置

既然知道了原因，那我们在搭建环境时就要注意以下几点，尽量避免踩雷。

1. 设置预算告警，别当冤大头

这是最重要的一步！永远不要假设厂商不会扣你的钱。

• 在 Billing 界面点击 Budgets & alerts。
• 创建一个预算，金额可以设为 $0.01 或者 $1.00（虽然免费送额度，但扣费说明你超出了范围）。
• 关键操作：在告警设置里，将 Billing Account 的权限设置为“当达到阈值时发送邮件给你”。更进一步，你可以配合脚本（比如通过 Cloud Function）实现自动停机，虽然对于新手来说，邮件提醒基本够用了，看到邮件立刻去检查服务。

2. 限制出入站流量

• 使用 VPC Firewall：不要图省事开放 0.0.0.0/0 的入站规则（除了 SSH 和 HTTP/HTTPS 必要端口）。尽量限制 IP 段，减少被扫描攻击的风险。
• 出站规则控制：虽然 VPC 默认允许所有出站，但对于测试环境，你可以考虑限制特定 DNS 或仅允许 HTTP/HTTPS 出站，防止被攻击者利用做代理中转。

3. 谨慎使用第三方镜像和脚本

网上有很多“一键脚本”，有些脚本内置了某些优化网络配置的参数，或者连接了特定的上游节点。使用这些脚本前，最好看一下代码，特别是 iptables 或者路由相关的配置。避免莫名变成了别人的流量中转站。

4. 选区策略

虽然这和 Peering 价格关系不大，但 GCP 不同区域的网络环境不同。例如，us-west1 (Oregon) 或 us-central1 (Iowa) 通常是美区里线路比较“大路货”的区域，而亚洲或边缘区域的网络拓扑更复杂，碰到 Peering 概率可能略高。如果不需要低延迟，尽量选美国中部的大区。

四、 总结

GCP 的免费机依然是折腾党的神器，只要控制得当，每月 0 元养一个小博客、跑跑脚本完全没问题。遇到Network Data Transfer Out via Carrier Peering Network 扣费别慌，大概率是流量走了“VIP 通道”。

核心解决方案：开启账单明细分析 -> 定位实例 -> 限制不必要的流量访问 -> 务必设置预算告警。做好这几点，你的免费机才能真正“免费”下去。