Mae App Engine yn gallu cyrraedd eich cronfa ddata VPN: beth sy'n rhaid ei gyd-fynd

Mae'r honiad nad yw App Engine Standard yn gallu cyrraedd cronfa ddata breifat dros Cloud VPN yn weddill o genhedlaeth gynharach o'r platfform. Nid yw instansau Standard yn cael cyfeiriad brodorol i VPC fel y mae rhai amgylcheddau rhedeg eraill, ond gallant anfon egress drwy gysylltydd Serverless VPC Access sy'n byw yn eich rhwydwaith. Unwaith y bydd y llwybr hwnnw'n bodoli, mae Cloud VPN a'r wal dân bell yn gweld traffig y cysylltydd fel unrhyw ffynhonnell arall. Yr hyn sy'n methu yn anaml yw'r gallu ei hun. Un o dri gosodiad yw hi na chafodd ei halinio erioed.

O ble y daeth yr hen ateb

Cyn bod cysylltwyr, yr ateb ymarferol oedd yn wir mai dim ond â phenau cyhoeddus y gallai Standard siarad, ac roedd timau'n symud i VM dirprwyol neu amgylchedd rhedeg arall i'w osgoi. Newidiodd y platfform, ond ni newidiodd y llên gwerin. Mae llawer o gyngor ar-lein yn dal i adlewyrchu'r cyfnod pan nad oedd opsiwn egress o gwbl.

Mae'r cywiriad yn gulach nag y mae'n swnio. Gall Standard gyrraedd y rhwydwaith preifat, ond dim ond drwy integreiddiad egress a gefnogir, a dim ond ar gyfer y cyrchfannau y mae'r integreiddiad hwnnw'n eu dal mewn gwirionedd.

Dewiswch y llwybr egress yn gyntaf

Cysylltydd sydd ynghlwm wrth y gwasanaeth sy'n rhoi ei draffig i mewn i'r VPC. Mae dogfennaeth y cysylltydd yn rhestru'r rhagofyniad rhanbarthol a'r gosodiadau egress; rhaid i'r cysylltydd fodoli yn rhanbarth y gwasanaeth a bod yn ddefnyddiadwy gan y hunaniaeth sy'n defnyddio.

vpc_access_connector:
  name: projects/PROJECT_ID/locations/REGION/connectors/CONNECTOR_NAME
  egress_setting: private-ranges-only

Mae private-ranges-only yn anfon cyrchfannau preifat i mewn i'r VPC ac yn gadael popeth arall ar lwybr arferol y rhyngrwyd, sef fel arfer yr hyn sydd ei angen ar gysylltiad cronfa ddata. Mae all-traffic yn gwthio traffig allan drwy'r VPC yn eang, felly mae galwadau rhyngrwyd cyffredin yn etifeddu NAT a safiad wal dân y VPC hefyd.

Nid yw golygu'r ffeil yn lleol yn newid dim nes i chi ddefnyddio. Mae fersiwn sy'n rhedeg yn cadw'r ffurfweddiad y cafodd ei greu ag ef.

Y cyfeiriad ffynhonnell yw'r cysylltydd, nid eich gliniadur

Dyma lle mae'r rhan fwyaf o'r amser datfygio'n mynd. Mae'n rhaid i'r porth VPN pell a wal dân y gronfa ddata dderbyn yr ystod a ddyrannwyd i'r cysylltydd y tu mewn i'r VPC, nid cyfeiriad eich swyddfa ac nid cyfeiriad egress cyhoeddus y gwasanaeth. Chwiliwch am yr ystod honno yn y consol cyn ysgrifennu unrhyw reol.

Mae dau le arall yn gorfod cytuno. Mae angen llwybr i rwydwaith pell y gronfa ddata ar dabl llwybrau'r VPC, ac mae angen llwybr dychwelyd ar gyfer ystod y cysylltydd ar yr ochr bell. Os yw'r twnnel yn defnyddio detholwyr traffig, cadarnhewch fod ystod y cysylltydd o fewn y cwmpas a drafodwyd. Mae llwybr sy'n bodoli dim ond i'r cyfeiriad o bell i leol yn fethiant cyffredin, ac mae'n gadael pings drwodd heb byth cwblhau handshake TCP.

Bydd twnnel sy'n derbyn is-rwydwaith VM yn unig yn gollwng pecynnau'r cysylltydd heb neges gwall ddefnyddiol, a dyna pam mae'r amseriad allan yn y gronfa ddata yn edrych fel problem enw defnyddiwr a chyfrinair.

Mae DNS yn teithio ar lwybr gwahanol

Rhaid i enw gwesteiwr cronfa ddata breifat ddatrys y tu mewn i'r rhwydwaith y mae'r cysylltydd yn ei gyrraedd, drwy bartneriaeth Cloud DNS neu barth anfon ymlaen y gall y VPC ei ddefnyddio. Nid yw ei ddatrys ar eich gorsaf waith yn profi dim am y gwasanaeth a ddefnyddiwyd, oherwydd nid yw eich gliniadur yn defnyddio'r datryswr hwnnw.

Os yw'r enw'n datrys i gyfeiriad cyhoeddus o fewn y VPC, rydych ar fin datfygio'r wal dân anghywir.

Nid yw URL Fetch yn defnyddio'r cysylltydd

Mae'r gosodiad egress yn cwmpasu socedi allan arferol yr amgylchedd rhedeg, ac nid yw'r gwasanaeth URL Fetch etifeddol yn rhan o'r llwybr hwnnw. Mae cais a gyhoeddir drwy urlfetch yn anwybyddu'r cysylltydd waeth beth mae'r ffurfweddiad yn ei ddweud. Pan fydd y galwad sy'n methu y tu mewn i lyfrgell hŷn sy'n dal i ddefnyddio URL Fetch, yr ateb yw symud y galwad honno i'r cleient HTTP safonol.

Ar gyfer gyrrwr cronfa ddata anaml y dyma'r broblem, ond dyma'r rheswm clasurol pam mae un pwynt terfyn yn gweithio ac un arall ddim o'r un gwasanaeth.

Gwiriwch ag un ymholiad cul

Defnyddiwch, yna rhedegwch un gweithrediad cronfa ddata a ganiateir o'r fersiwn a ddefnyddiwyd tra'n gwylio'r ochr bell. Y cyfeiriad ffynhonnell a gofnodir gan y gronfa ddata neu'r porth VPN ddylai fod un y cysylltydd. Os nad yw, ni chyrhaeddodd y cais y VPC o gwbl ac ni fydd unrhyw faint o ffurfweddu twnnel yn ei drwsio. Cymharwch ef â'r ystod y gwnaethoch chwilio amdani yn y consol; mae anghysondeb fel arfer yn golygu bod ail gysylltydd yn gwasanaethu'r fersiwn.

Mae ymholiad llwyddiannus o VM y tu mewn i'r VPC yn dangos bod y llwybr yn bodoli. Nid yw'n dangos bod y gwasanaeth wedi ei ddewis.