Cloud Run-dan yerli VPN-ə: Direct VPC çıxışının qurulması

Tunel işləyir, VM yerli serverə çatır, amma Cloud Run xidməti eyni hostda vaxt aşımına düşür. Bu, bu tapşırıq üçün normal başlanğıc nöqtəsidir və tunel nadir hallarda problem olur. Cloud Run reviziyası standart olaraq VPC-nizdə yerləşmir, və yerləşdikdən sonra artıq marşrutlaşdırdığınız VM alt şəbəkəsindən deyil, öz mənbə ünvanlarından istifadə edir. Aşağıdakı runbook xidməti qoşur, onun faktiki mənbə diapazonunu marşrutlaşdırır və sonra sorğunu yerinə yetirən reviziyadan yolu sübut edir. Bunu elə bu ardıcıllıqla icra edin, çünki ilk addımı atlamaq bu halların çoxunun heç nəyi düzəltməyən VPN dəyişikliyi ilə bitməsinin səbəbidir.

Tuneli sazlamadan əvvəl reviziyanı qoşun

Cloud Run dəstəkləyir: Direct VPC çıxışı, bu, xidmətin trafikini Serverless VPC Access konnektoru olmadan VPC-nizdəki alt şəbəkəyə qoyur. Mövcud xidmət üçün yeniləmə belə görünür:

gcloud run services update SERVICE \
  --region=REGION --network=NETWORK --subnet=SUBNET \
  --vpc-egress=private-ranges-only

Yer tutucuları əvəz edin, yerləşdirmənin canlı trafikə nə etdiyini nəzərdən keçirin və xidmətin regionunda kifayət qədər ünvan tutumu və düzgün şəbəkə icazələri olan alt şəbəkə seçin.

Təyinatla uyğun gələn çıxış rejimini seçin

private-ranges-only şəxsi kimi təsnif etdiyi təyinatları VPC vasitəsilə göndərir. Bu «VPN üzərindən əlçatan olan hər şey» demək deyil və bu boşluq yerli xidmət parametrin bu cür təsnif etmədiyi diapazonda yerləşdikdə ortaya çıxır. Əgər təyinat əhatə olunmayıbsa, all-traffic digər sənədləşdirilmiş rejimdir və o, xidmətin ictimai asılılıqları daxil olmaqla hər şeyi VPC vasitəsilə göndərir. Qərarı şüurlu verin və nəticəni dəyişiklik qeydinə yazın.

Artıq konnektor istifadə edən xidmət açar deyil, miqrasiyadır, ona görə hər ikisini konfiqurasiya etmək əvəzinə onu planlaşdırın.

VM mənbəyini deyil, Cloud Run mənbəyini marşrutlaşdırın

Direct VPC çıxışı seçilmiş alt şəbəkədən müvəqqəti ünvanlar ayırır və yerli tərəf trafiki həmin diapazona qaytarmalıdır. Fərqli VM alt şəbəkəsi üçün yazılmış qaytarma marşrutu və ya firewall icazəsi diaqramda düzgün görünəcək və praktikada uğursuz olacaq. Alt şəbəkə CIDR-ni yaddaşdan deyil, VPC-dən götürün, sonra uzaq cihazın kripto ACL və ya marşrut cədvəlinin onu ehtiva etdiyini təsdiqləyin.

Dinamik marşrutlaşdırma ilə Cloud Router-in faktiki olaraq nə elan etdiyini və VPC-nin nə import etdiyini, o cümlədən hər hansı fərdi elan siyasətini yoxlayın. Konsolda mövcud olan, lakin bu təyinat üçün seçilməyən marşrut heç bir marşrut olmaması ilə eynidir.

Hamısı eyni vaxtda ödənməli olan üç şərt

İşləyən yol üçün aşağıdakıların hamısı lazımdır və hər biri öz üsulu ilə uğursuz olur:

• VPC-də nəzərdə tutulan Cloud VPN bağlantısı vasitəsilə yerli prefiksə doğru marşrut.
• Cloud Run alt şəbəkəsi üçün yerli tərəfdə əks marşrut.
• Mənbə, təyinat və porta icazə verən firewall və IPsec qoruma əhatəsi.

Çatışmayan marşrut adətən uzaq tərəfdə heç bir dəlil olmadan vaxt aşımı kimi görünür. Əks marşrut problemi sorğunun gəlməsi və cavabın yox olması kimi görünür. Firewall və ya selektor problemi cihazdan asılı olaraq imtina və ya səssiz itki kimi görünə bilər. Üçündən hansının sizdə olduğunu müəyyən etmək növbəti əmri xeyli daraldır.

Bir müvəqqəti Cloud Run ünvanını icazə siyahısına salmayın. Alt şəbəkə diapazonundan və tətbiqə uyğun avtorizasiya dizaynından istifadə edin.

Sorğunu yerinə yetirən reviziyanı sınaqdan keçirin

Sınaqdan əvvəl yerləşdirilmiş şəbəkə parametrlərini və trafik bölgüsünü yoxlayın, çünki yeniləmə yeni reviziya yarada bilər, sorğular isə hələ də köhnəsinə çatır. Sonra istifadəçi sorğusunun icra etdiyi əməliyyatı həmin reviziyadan icra edin. Təyinat şəxsi host adıdırsa, onun həmin mühitdə həllini və yaratdığı ünvanı yoxlayın, çünki noutbukunuzun korporativ DNS cavabı xidmətin ad məkanı haqqında heç nə sübut etmir. TLS host adı yoxlamasını və uzaq tətbiqin öz autentifikasiyasını yerində saxlayın.

Sənədləşdirilmiş Direct VPC başlanğıc bağlantı gecikmələrini gözləyin və hər soyuq başlanğıcı pozulmuş tunel kimi diaqnoz etmək əvəzinə müştəriyə hazırlıq və ya təkrar cəhd strategiyası verin.

Geri qaytarma və bunun etmədiyi şeylər

Geri qaytarmaq üçün xidmətin şəbəkə və çıxış parametrlərini əvvəlki dəyərlərinə qaytarın və əvvəlki reviziyanın hələ də trafikə xidmət etdiyini təsdiqləyin. gcloud əmrini dəyişiklik qeydində saxlayın, çünki qismən dəyişikliyin əksi altı həftə sonra aydın olmur. VPC qoşmasını silmək xidməti əvvəlki çıxış yoluna qaytarır və bu, insident zamanı tam istədiyiniz şey ola bilər.

Bu dizayn Cloud Run-ın başlatdığı bağlantıları və onların cavablarını əhatə edir. O, yerli şəbəkəyə xidmətin daxilində ünvanlana bilən soket vermir, çünki daxil olan məruz qalma ingress qərarıdır.