Cloud Run থেকে অন-প্রিমাইজ VPN: Direct VPC egress সেটআপ

টানেল সক্রিয়, একটি VM অন-প্রিমাইজ সার্ভারে পৌঁছায়, কিন্তু একই হোস্টে Cloud Run সার্ভিসটি টাইম-আউট হয়। এটি এই কাজের স্বাভাবিক সূচনা বিন্দু, এবং টানেলই খুব কম ক্ষেত্রে সমস্যা হয়। একটি Cloud Run রিভিশন ডিফল্টভাবে আপনার VPC-তে থাকে না, আর একবার থাকলে এটি আপনার আগে রুট করা VM সাবনেটের বদলে নিজের সোর্স অ্যাড্রেস ব্যবহার করে। নিচের রানবুকটি সার্ভিসটি যুক্ত করে, তার প্রকৃত সোর্স রেঞ্জ রুট করে, তারপর যে রিভিশনটি অনুরোধটি পরিবেশন করেছে সেখান থেকে পথটি প্রমাণ করে। ঠিক এই ক্রমে এটি চালান, কারণ প্রথম ধাপটি বাদ দেওয়াই এ ধরনের বহু ঘটনা এমন একটি VPN পরিবর্তনে শেষ হওয়ার কারণ যেটি কিছুই ঠিক করে না।

টানেল ডিবাগ করার আগে রিভিশনটি যুক্ত করুন

Cloud Run সমর্থন করে Direct VPC egress, যা Serverless VPC Access কানেক্টর ছাড়াই সার্ভিসের ট্রাফিক আপনার VPC-র একটি সাবনেটে রাখে। একটি বিদ্যমান সার্ভিসের জন্য আপডেটটি দেখতে এমন:

gcloud run services update SERVICE \
  --region=REGION --network=NETWORK --subnet=SUBNET \
  --vpc-egress=private-ranges-only

প্লেসহোল্ডারগুলি প্রতিস্থাপন করুন, ডিপ্লয়মেন্ট লাইভ ট্রাফিকে কী করে তা পর্যালোচনা করুন, এবং সার্ভিসের অঞ্চলে পর্যাপ্ত অ্যাড্রেস ক্যাপাসিটি ও সঠিক নেটওয়ার্ক অনুমতি রয়েছে এমন একটি সাবনেট বেছে নিন।

গন্তব্যের সাথে মেলে এমন ইগ্রেস মোড বেছে নিন

private-ranges-only এমন গন্তব্যগুলি পাঠায় যেগুলিকে এটি প্রাইভেট হিসাবে শ্রেণীবদ্ধ করে, VPC-র মাধ্যমে। এর অর্থ «VPN দিয়ে পৌঁছানো যায় এমন সবকিছু» নয়, এবং সেই ফাঁকটি দেখা দেয় যখন অন-প্রিমাইজ সার্ভিসটি এমন একটি রেঞ্জে থাকে যেটিকে সেটিংটি এভাবে শ্রেণীবদ্ধ করে না। যদি গন্তব্যটি আচ্ছাদিত না হয়, তবে all-traffic হল অন্য নথিভুক্ত মোড, এবং এটি সার্ভিসের পাবলিক নির্ভরশীলতাগুলি সহ সবকিছু VPC-র মাধ্যমে পাঠায়। সচেতনভাবে বেছে নিন এবং পরিণতিটি পরিবর্তন রেকর্ডে লিখুন।

যে সার্ভিস ইতিমধ্যে একটি কানেক্টর ব্যবহার করছে তা টগল নয়, মাইগ্রেশন, তাই দুটোই কনফিগার না করে এর পরিকল্পনা করুন।

VM সোর্স নয়, Cloud Run সোর্স রুট করুন

Direct VPC egress নির্বাচিত সাবনেট থেকে অস্থায়ী অ্যাড্রেস বরাদ্দ করে, এবং অন-প্রিমাইজ দিকটিকে সেই রেঞ্জে ট্রাফিক ফেরত দিতে হবে। ভিন্ন VM সাবনেটের জন্য লেখা রিটার্ন রুট বা ফায়ারওয়াল অনুমতি ডায়াগ্রামে সঠিক দেখাবে এবং বাস্তবে ব্যর্থ হবে। সাবনেট CIDR মেমরি থেকে নয়, VPC থেকে নিন, তারপর নিশ্চিত করুন যে রিমোট ডিভাইসের ক্রিপ্টো ACL বা রুট টেবিলে এটি রয়েছে।

ডাইনামিক রাউটিংয়ের সাথে, Cloud Router আসলে কী ঘোষণা করে এবং VPC কী আমদানি করে তা যাচাই করুন, যেকোনো কাস্টম ঘোষণা নীতিসহ। কনসোলে থাকা কিন্তু এই গন্তব্যের জন্য নির্বাচিত নয় এমন রুট কোনো রুট না থাকার সমান।

তিনটি শর্ত যা সবগুলিই পূরণ হতে হবে

একটি কার্যকর পথের জন্য নিম্নলিখিত সবকিছু প্রয়োজন, এবং প্রত্যেকটি নিজের মতো ব্যর্থ হয়:

• VPC-তে অন-প্রিমাইজ প্রিফিক্সের দিকে উদ্দিষ্ট Cloud VPN সংযোগের মাধ্যমে একটি রুট।
• Cloud Run সাবনেটের জন্য অন-প্রিমাইজ দিকে একটি বিপরীত রুট।
• সোর্স, গন্তব্য ও পোর্ট অনুমোদনকারী ফায়ারওয়াল ও IPsec সুরক্ষা পরিধি।

অনুপস্থিত রুট সাধারণত রিমোট দিকে কোনো প্রমাণ ছাড়াই টাইম-আউটের মতো দেখায়। বিপরীত রুটের সমস্যা অনুরোধ আসা এবং উত্তর হারিয়ে যাওয়ার মতো দেখায়। ফায়ারওয়াল বা সিলেক্টর সমস্যা ডিভাইসের উপর নির্ভর করে প্রত্যাখ্যান বা নীরব বাতিলের মতো দেখাতে পারে। তিনটির মধ্যে কোনটি আপনার আছে তা নির্ধারণ করা পরবর্তী কমান্ডটিকে অনেক সংকুচিত করে।

একটি অস্থায়ী Cloud Run অ্যাড্রেসকে অনুমোদিত তালিকায় রাখবেন না। সাবনেট রেঞ্জ এবং অ্যাপ্লিকেশনের সাথে মানানসই একটি অনুমোদন নকশা ব্যবহার করুন।

যে রিভিশনটি অনুরোধ পরিবেশন করেছে তা পরীক্ষা করুন

পরীক্ষার আগে মোতায়েন করা নেটওয়ার্ক সেটিংস এবং ট্রাফিক বরাদ্দ পরিদর্শন করুন, কারণ একটি আপডেট নতুন রিভিশন তৈরি করতে পারে যখন অনুরোধগুলি এখনও পুরোনো একটিতে পৌঁছায়। তারপর ব্যবহারকারীর অনুরোধ যে ক্রিয়াটি করে সেই একই ক্রিয়াটি সেই রিভিশন থেকে সম্পাদন করুন। যদি গন্তব্যটি একটি প্রাইভেট হোস্টনেম হয়, তবে সেই পরিবেশে এর রিজলিউশন এবং এটি যে অ্যাড্রেস তৈরি করেছে তা পরীক্ষা করুন, কারণ আপনার ল্যাপটপের কর্পোরেট DNS উত্তর সার্ভিসের নেমস্পেস সম্পর্কে কিছুই প্রমাণ করে না। TLS হোস্টনেম যাচাই এবং রিমোট অ্যাপ্লিকেশনের নিজস্ব প্রমাণীকরণ চালু রাখুন।

Direct VPC-র নথিভুক্ত স্টার্টআপ সংযোগ বিলম্ব প্রত্যাশা করুন, এবং প্রতিটি কোল্ড স্টার্টকে ভাঙা টানেল হিসাবে নির্ণয় না করে ক্লায়েন্টকে একটি প্রস্তুতি বা পুনরায় চেষ্টার কৌশল দিন।

রোলব্যাক এবং এটি যা করে না

রোলব্যাক করতে, সার্ভিসের নেটওয়ার্ক ও ইগ্রেস সেটিংস আগের মানে ফিরিয়ে দিন এবং নিশ্চিত করুন যে আগের রিভিশনটি এখনও ট্রাফিক পরিবেশন করছে। পরিবর্তন রেকর্ডে gcloud কমান্ডটি রাখুন, কারণ আংশিক পরিবর্তনের বিপরীতটি ছয় সপ্তাহ পরে স্পষ্ট থাকে না। VPC সংযুক্তি সরানো সার্ভিসটিকে তার আগের ইগ্রেস পথে ফিরিয়ে দেয়, যা কোনো ঘটনার সময় আপনি ঠিক যা চাইতে পারেন।

এই নকশাটি Cloud Run যে সংযোগগুলি শুরু করে এবং তাদের উত্তরগুলি কভার করে। এটি অন-প্রিমাইজ নেটওয়ার্ককে সার্ভিসের ভিতরে একটি ঠিকানাযোগ্য সকেট দেয় না, কারণ ইনবাউন্ড এক্সপোজার একটি ingress সিদ্ধান্ত।