App Engine VPN verilənlər bazanıza çatır: nələr uyğun olmalıdır

App Engine Standard-ın Cloud VPN üzərindən şəxsi verilənlər bazasına çata bilmədiyi iddiası platformanın əvvəlki nəslinin qalığıdır. Standard instanslar bəzi digər icra mühitləri kimi VPC-yə məxsus ünvan almır, lakin şəbəkənizdə yerləşən Serverless VPC Access konnektoru vasitəsilə çıxış göndərə bilərlər. Bu yol yarandıqdan sonra Cloud VPN və uzaq firewall konnektor trafikini hər hansı digər mənbə kimi görür. Uğursuz olan nadir hallarda qabiliyyətin özüdür. Bu, heç vaxt uyğunlaşdırılmayan üç parametrdən biridir.

Köhnə cavab haradan gəldi

Konnektorlar yaranmazdan əvvəl praktik cavab həqiqətən belə idi: Standard yalnız publik son nöqtələrlə danışa bilirdi və komandalar bunu aşmaq üçün proksi VM-ə və ya başqa icra mühitinə keçirdi. Platforma dəyişdi, lakin əfsanə dəyişmədi. İnternetdəki bir çox məsləhət hələ də çıxış variantının ümumiyyətlə olmadığı dövrü əks etdirir.

Düzəliş səsləndiyi qədər dar deyil. Standard şəxsi şəbəkəyə çata bilər, lakin yalnız dəstəklənən çıxış inteqrasiyası vasitəsilə və yalnız həmin inteqrasiyanın həqiqətən tutduğu təyinatlar üçün.

Əvvəlcə çıxış yolunu seçin

Xidmətə birləşdirilmiş konnektor onun trafikini VPC-yə daxil edən şeydir. Konnektor sənədləşməsi regional ilkin şərti və çıxış parametrlərini sadalayır; konnektor xidmətin regionunda mövcud olmalı və yerləşdirmə kimliyi tərəfindən istifadə edilə bilməlidir.

vpc_access_connector:
  name: projects/PROJECT_ID/locations/REGION/connectors/CONNECTOR_NAME
  egress_setting: private-ranges-only

private-ranges-only şəxsi təyinatları VPC-yə göndərir və qalan hər şeyi normal internet yolunda qoyur ki, bu da adətən verilənlər bazası bağlantısının ehtiyacıdır. all-traffic çıxış trafikini geniş şəkildə VPC-dən keçirir, ona görə adi internet çağırışları da VPC-nin NAT və firewall vəziyyətini miras alır.

Faylı lokal olaraq redaktə etmək yerləşdirənə qədər heç nəyi dəyişmir. İşləyən versiya yaradıldığı konfiqurasiyanı saxlayır.

Mənbə ünvanı konnektordur, noutbukunuz deyil

Debugging vaxtının çoxu buraya gedir. Uzaq VPN şlüzü və verilənlər bazası firewall-u VPC daxilində konnektorun ayrılmış diapazonunu qəbul etməlidir, ofisinizin ünvanını və ya xidmətin publik çıxış ünvanını yox. Bir qayda yazmazdan əvvəl həmin diapazonu konsolda tapın.

Daha iki yer razılaşmalıdır. VPC marşrut cədvəlinə uzaq verilənlər bazası şəbəkəsinə marşrut lazımdır, uzaq tərəfə isə konnektor diapazonu üçün geri marşrut lazımdır. Tunel trafik seçicilərindən istifadə edirsə, konnektor diapazonunun razılaşdırılmış əhatə daxilində olduğunu təsdiqləyin. Yalnız uzaqdan lokala istiqamətdə mövcud olan marşrut geniş yayılmış səhvdir və o, ping-ləri keçirir, lakin TCP əl sıxışmasını heç vaxt tamamlamır.

Yalnız VM alt şəbəkəsini qəbul edən tunel konnektor paketlərini faydalı xəta mesajı olmadan atacaq, buna görə verilənlər bazasının fasiləsi etimad məlumatları problemi kimi görünür.

DNS fərqli yolla gedir

Şəxsi verilənlər bazası host adı konnektorun çatdığı şəbəkə daxilində həll olunmalıdır: Cloud DNS peerinqi və ya VPC-nin istifadə edə biləcəyi yönləndirmə zonası vasitəsilə. Onu iş stansiyanızda həll etmək yerləşdirilmiş xidmət haqqında heç nə sübut etmir, çünki noutbukunuz həmin həlledicidən istifadə etmir.

Ad VPC daxilindən publik ünvana həll olunursa, səhv firewall-u debug etməyə hazırlaşırsınız.

URL Fetch konnektordan istifadə etmir

Çıxış parametri icra mühitinin normal çıxış soketlərini əhatə edir və köhnə URL Fetch xidməti bu yolun hissəsi deyil. urlfetch vasitəsilə göndərilən sorğu konfiqurasiya nə deyirsə desin konnektoru nəzərə almır. Uğursuz çağırış hələ də URL Fetch istifadə edən köhnə kitabxananın içindədirsə, düzəliş həmin çağırışı standart HTTP müştərisinə köçürməkdir.

Verilənlər bazası sürücüsü üçün bu nadir hallarda problemdir, lakin eyni xidmətdən bir son nöqtənin işləyib digərinin işləməməsinin klassik səbəbi budur.

Bir dar sorğu ilə yoxlayın

Yerləşdirin, sonra uzaq tərəfi izləyərkən yerləşdirilmiş versiyadan icazə verilən bir verilənlər bazası əməliyyatı işlədin. Verilənlər bazası və ya VPN şlüzünün qeyd etdiyi mənbə ünvanı konnektorun ünvanı olmalıdır. Əgər deyilsə, sorğu heç vaxt VPC-yə daxil olmayıb və heç bir tunel konfiqurasiyası bunu düzəltməyəcək. Onu konsolda tapdığınız diapazonla müqayisə edin; uyğunsuzluq adətən versiyaya ikinci bir konnektorun xidmət etdiyini bildirir.

VPC daxilindəki VM-dən uğurlu sorğu marşrutun mövcud olduğunu sübut edir. Xidmətin məhz onu seçdiyini sübut etmir.