Cloud Run i VPN lleol: gosod all-lif VPC uniongyrchol

Mae'r twnnel i fyny, mae VM yn cyrraedd y gweinydd lleol, ac mae gwasanaeth Cloud Run yn amseru allan ar yr un gwesteiwr. Dyma'r man cychwyn arferol ar gyfer y dasg hon, ac anaml y twnnel yw'r hyn sy'n bod. Nid yw fersiwn Cloud Run yn eistedd yn eich VPC yn ddiofyn, ac unwaith y bydd yn gwneud, mae'n defnyddio ei gyfeiriadau ffynhonnell ei hun yn lle'r isrwyd VM rydych eisoes wedi'i llwybro. Mae'r rhedlyfr isod yn cysylltu'r gwasanaeth, yn llwybro ei ystod ffynhonnell wirioneddol, ac yna'n profi'r llwybr o'r fersiwn a wasanaethodd y cais. Rhedegwch ef yn y drefn honno, oherwydd hepgor y cam cyntaf yw'r rheswm y mae cymaint o'r achosion hyn yn gorffen mewn newid VPN nad yw'n trwsio dim.

Cysylltwch y fersiwn cyn dadfygio'r twnnel

Mae Cloud Run yn cefnogi all-lif VPC uniongyrchol, sy'n rhoi traffig y gwasanaeth ar isrwyd yn eich VPC heb gysylltydd Serverless VPC Access. Ar gyfer gwasanaeth sy'n bodoli'n barod, mae'r diweddariad yn edrych fel hyn:

gcloud run services update SERVICE \
  --region=REGION --network=NETWORK --subnet=SUBNET \
  --vpc-egress=private-ranges-only

Amnewidiwch y deiliaid lle, adolygwch beth mae'r defnyddio yn ei wneud i draffig byw, a dewiswch isrwyd yn rhanbarth y gwasanaeth gyda digon o gapasiti cyfeiriadau a'r caniatadau rhwydwaith cywir.

Dewiswch y modd all-lif sy'n cyfateb i'r gyrchfan

private-ranges-only yn anfon y cyrchfannau y mae'n eu dosbarthu fel rhai preifat trwy'r VPC. Nid yw hyn yn golygu „unrhyw beth y gellir ei gyrraedd dros y VPN“, ac mae'r bwlch hwnnw'n ymddangos pan fydd y gwasanaeth lleol mewn ystod nad yw'r gosodiad yn ei ddosbarthu felly. Os nad yw'r gyrchfan wedi'i chynnwys, all-traffic yw'r modd dogfennedig arall, ac mae'n anfon popeth trwy'r VPC, gan gynnwys dibyniaethau cyhoeddus y gwasanaeth. Dewiswch yn fwriadol ac ysgrifennwch y canlyniad yn y cofnod newid.

Mae gwasanaeth sy'n defnyddio cysylltydd yn barod yn fudo yn hytrach na throi swits, felly cynlluniwch hynny yn lle ffurfweddu'r ddau.

Llwybrwch ffynhonnell Cloud Run, nid ffynhonnell VM

Mae all-lif VPC uniongyrchol yn dyrannu cyfeiriadau dros dro o'r isrwyd a ddewiswyd, ac mae'n rhaid i'r ochr leol ddychwelyd traffig i'r ystod honno. Bydd llwybr dychwelyd neu ganiatâd wal dân yn ysgrifenedig ar gyfer isrwyd VM wahanol yn edrych yn gywir yn y diagram ac yn methu yn ymarferol. Cymerwch CIDR yr isrwyd o'r VPC yn hytrach nag o'r cof, yna cadarnhewch fod ACL crypto neu dabl llwybro'r ddyfais bell yn ei gynnwys.

Gyda llwybro deinamig, gwiriwch beth mae Cloud Router yn ei hysbysebu mewn gwirionedd a beth mae'r VPC yn ei fewnforio, gan gynnwys unrhyw bolisi hysbysebu personol. Mae llwybr sy'n bodoli yn y consol ond nad yw'n cael ei ddewis ar gyfer y gyrchfan hon yr un peth â dim llwybr.

Tri amod y mae'n rhaid i bob un ohonynt fod yn wir

Mae llwybr gweithiol angen pob un o'r canlynol, ac mae pob un yn methu yn ei ffordd ei hun:

• Llwybr yn y VPC tuag at y rhagddodiad lleol trwy'r cysylltiad Cloud VPN bwriadedig.
• Llwybr gwrthdro ar yr ochr leol ar gyfer isrwyd Cloud Run.
• Cwmpas amddiffyn wal dân ac IPsec sy'n caniatáu'r ffynhonnell, y gyrchfan a'r porth.

Mae llwybr ar goll fel arfer yn edrych fel amseru allan heb unrhyw dystiolaeth o'r ochr bell. Mae problem llwybr gwrthdro yn edrych fel cais sy'n cyrraedd ac ateb sy'n diflannu. Gall problem wal dân neu ddetholydd edrych fel gwrthodiad neu fel cwymp tawel, yn dibynnu ar y ddyfais. Mae gweithio allan pa un o'r tri sydd gennych yn culhau'r gorchymyn nesaf yn sylweddol.

Peidiwch â rhoi un cyfeiriad Cloud Run dros dro ar y rhestr ganiatáu. Defnyddiwch ystod yr isrwyd a chynllun awdurdodi sy'n addas i'r cymhwysiad.

Profwch y fersiwn a wasanaethodd y cais

Archwiliwch y gosodiadau rhwydwaith a gyflwynwyd a'r dyraniad traffig cyn profi, oherwydd gall diweddariad greu fersiwn newydd tra bod ceisiadau'n dal i gyrraedd un hŷn. Yna cyflawnwch yr un gweithrediad ag y mae cais y defnyddiwr yn ei gyflawni, o'r fersiwn honno. Os yw'r gyrchfan yn enw gwesteiwr preifat, gwiriwch ei ddatrysiad yn yr amgylchedd hwnnw a'r cyfeiriad a gynhyrchodd, oherwydd nid yw ateb DNS corfforaethol eich gliniadur yn profi dim am ofod enwau'r gwasanaeth. Cadwch wirio enw gwesteiwr TLS a dilysu'r cymhwysiad pell ei hun.

Disgwyliwch yr oedi cysylltu cychwyn Direct VPC a nodir, a rhowch strategaeth parodrwydd neu ailgynnig i'r cleient yn lle rhoi diagnosis o bob cychwyn oer fel twnnel wedi torri.

Troi'n ôl a'r hyn nad yw hyn yn ei wneud

I droi'n ôl, adfer gosodiadau rhwydwaith ac all-lif y gwasanaeth i'w gwerthoedd blaenorol a chadarnhau bod y fersiwn gynharach yn dal i wasanaethu traffig. Cadwch y gorchymyn gcloud yn y cofnod newid, oherwydd nid yw gwrthdro newid rhannol yn amlwg chwe wythnos yn ddiweddarach. Mae dileu'r cysylltiad VPC yn dychwelyd y gwasanaeth i'w lwybr all-lif blaenorol, a allai fod yn union yr hyn rydych ei eisiau yn ystod digwyddiad.

Mae'r dyluniad hwn yn cwmpasu cysylltiadau y mae Cloud Run yn eu cychwyn a'u hatebion. Nid yw'n rhoi soced cyfeiriadwy i'r rhwydwaith lleol o fewn y gwasanaeth, oherwydd penderfyniad ingress yw datguddiad i mewn.