用途：在 Google Cloud 上设计、实现并保护网络基础设施，适用于为新项目或多项目架构构建 VPC 网络、控制服务间流量的防火墙规则、为私有实例提供出网访问的 Cloud NAT、部署 HTTP(S)/TCP/UDP/内部负载均衡、以及实施 Private Service Connect 或 Shared VPC。
前提条件：已安装并认证 Google Cloud SDK（gcloud），启用 Compute Engine API，并具备 roles/compute.networkAdmin 角色。启用服务的命令为 gcloud services enable compute.googleapis.com servicenetworking.googleapis.com。
主要能力：自定义模式 VPC 与多区域子网创建（含 GKE 次要范围与代理专用子网）；防火墙规则（HTTP/HTTPS、内部流量、IAP SSH、健康检查来源范围）及列表过滤；Cloud NAT（自动或静态外部 IP、端口分配与日志）；外部 HTTP(S) 与内部负载均衡（健康检查、后端服务、URL 映射、SSL 证书、转发规则）；Cloud Armor 安全策略（区域封禁、基于速率的封禁）；Private Service Connect 访问 Google API；Shared VPC 主机项目与服务项目关联；并提供 Terraform 资源配置示例。
常见操作与排障：可列出网络与子网、查看子网详情、创建连通性测试。常见问题包括实例无法上网（缺 Cloud NAT）、防火墙规则未生效（标签或优先级）、负载均衡 502（后端健康检查失败）、无法访问 Google API（未启用私有 Google 访问）、NAT 端口耗尽（调大最小端口数）、Shared VPC 项目无法创建 VM（缺少 compute.networkUser）、SSL 证书卡在 PROVISIONING（DNS 未指向 LB IP）。
限制：资料未提供价格、收费、性能数据与具体配额限制；所有操作需相应 IAM 权限与已启用的 API。