API Google dros VPN: llwybro’r VIP, nid yr is-rwydwaith yn unig

Mewngofnodwch i’r gweinydd lleol drwy SSH, codwch y twnnel, ac mae’r VM preifat yn ateb; yna mae’r alwad gyntaf i API Google yn methu heb lwybr. Mae is-rwydwaith y VM a VIPau’r API yn gyrchfannau gwahanol, felly nid yw llwybr ar gyfer un yn dewis y llall. Rhaid i dri amod fod yn wir cyn i alwad API breifat weithio. Rhaid i enw’r API ddatrys i VIP, rhaid hysbysebu rhagddodiad y VIP ar draws y twnnel, a rhaid i’r VPC wybod sut i anfon yr ateb yn ôl. Nid yw ping yn dweud dim o hynny wrthych, ac nid yw sesiwn SSH sy’n gweithio i beiriant yn yr is-rwydwaith chwaith.

Mae VIPau’r API yn gyrchfannau ar wahân

Mae Google yn cyhoeddi VIPau pwrpasol ar gyfer mynediad API o’r rhwydwaith lleol, a’r rhain yw’r cyfeiriadau y mae’n rhaid i’ch DNS eu dychwelyd ar gyfer enwau’r API. Mae’r ddau yn rhagddodiadau bach ac nid yw’r un ohonynt yn ofod RFC 1918:

Nid yw cyfeiriadau sy’n edrych yn gyhoeddus yn golygu y dylai’r llwybr adael y twnnel ar gyfer y rhyngrwyd arferol. Mae’r rhagddodiadau yn bodoli fel y gall cleient lleol gyrraedd blaenau Google drwy lwybr a gefnogir yn lle pwynt allanfa mympwyol. Triniwch hwy fel cyrchfannau sy’n perthyn i’r twnnel, nid fel gwesteiwyr i’w harchwilio. Mae rheol wal dân a ysgrifennwyd ar gyfer allanfa’r rhyngrwyd fel arfer yn eu gollwng, a dyna un rheswm cyffredin pam mae alwad yn methu cyn iddi ddechrau.

DNS sy’n penderfynu pa derfynbwynt rydych chi’n ei gyrraedd

Pwyntiwch y datryswr lleol at y cofnodion y mae Google yn eu dogfennu ar gyfer y terfynbwynt a ddewiswyd, fel bod yr enwau sydd eu hangen ar y rhaglen yn ateb gyda’r VIP honno. Nid yw mapio googleapis.com yn unig yn rhestr gyflawn: mae gan gofrestrau pecynnau, cofrestrau cynwysyddion a chysylltwyr mudo eu henwau dogfenedig eu hunain. Nid yw’r VIP gyfyngedig yn cario pob gwasanaeth chwaith, felly gall enw sy’n datrys fod yn annibynadwy o hyd. Nodwch y parthau y mae’r rhaglen yn cysylltu â hwy mewn gwirionedd cyn i chi gyffwrdd â’r datryswr.

Nid yw dyfalu cyfeiriad VM yn y VPC yn lle enw gwasanaeth yn atgyweiriad, ac mae fel arfer yn cuddio’r bwlch DNS nes i gleient arall fethu.

Hysbysebwch y rhagddodiad VIP, cadwch y gweddill

Gyda chysylltiad sy’n seiliedig ar BGP, rhaid i’r Cloud Router hysbysebu’r rhagddodiad VIP a ddewiswyd fel y gall y llwybrydd lleol ddysgu’r amrediad hwnnw ar draws y sesiwn a fwriadwyd. Nid yw hysbysebu is-rwydweithiau’r VPC yn unig yn ychwanegu’r amrediad hwnnw, ac mae’r llwybrydd lleol yn parhau i ddefnyddio ei lwybr diofyn ar gyfer y cyfeiriadau hynny. Y rhagddodiad yn y tabl llwybro yw’r unig brawf bod y hysbyseb wedi croesi’r sesiwn.

Cadwch yr hysbysebion presennol wrth i chi ychwanegu un newydd, oherwydd mae gan opsiynau lefel llwybrydd a lefel cymheiriaid gyrhaeddiad gwahanol, a gall newid y set dynnu’n ôl rwydweithiau a oedd eisoes yn gweithio. Yna gwiriwch yr hysbyseb effeithiol ar bob sesiwn yn hytrach nag ar y llwybrydd yn gyfan. Mae rhagddodiad ar goll a rhagddodiad a dynnwyd yn’n ôl yn edrych yr un fath o’r ochr leol, felly golygfa’r sesiwn sy’n gwahanu esgeulustod oddi wrth atchweliad.

Mae angen llwybr a llwybr dychwelyd ei hun ar ochr y VPC

Y tu mewn i’r VPC, rhaid i lwybr y VIP ddefnyddio’r giât rhyngrwyd diofyn fel y naid nesaf, ac er gwaethaf yr enw mae’r traffig hwnnw’n aros o fewn rhwydwaith Google. Mae angen llwybr yn ôl i’r ffynhonnell leol drwy’r VPN ar y VPC hefyd, sy’n wrthrych ar wahân i’r rhagddodiad a hysbysebwyd. Cyfrifwch am y gofynion llwybro rhanbarthol dogfenedig pan nad yw’r twnnel a’r cleient yn yr un rhanbarth.

Gwiriwch y llwybr dychwelyd yn annibynnol, oherwydd gall cyfeiriad cais sy’n gweithio guddio cyfeiriad ateb sydd wedi torri. Dau gyfeiriad, dwy lwybr, ac mae pob un yn methu â’i symptom ei hun.

Profwch y cais, yna darllenwch y gwrthodiad

Nid yw eco ICMP yn cael ateb gan y VIPau hyn, felly nid yw ping sy’n methu yn profi dim ac mae un sy’n llwyddo yn profi ychydig iawn. O’r cleient go iawn, archwiliwch ateb yr enw a’r llwybr a ddewiswyd, yna gwnewch gais HTTPS awdurdodedig i’r gwasanaeth sy’n bwysig i chi. Os yw’r cais yn cyrraedd y gwasanaeth ac yn cael ei wrthod, edrychwch ar grynodebau’r cyfrif, IAM ac unrhyw bolisi perimedr gwasanaeth sy’n berthnasol.

Nid yw llwybro preifat yn rhoi awdurdodiad API, ac nid yw’n newid yr hyn y mae’r hunaniaeth yn cael ei wneud. Mae llwyddiant cludo ac ateb awdurdodedig yn ganlyniadau ar wahân, ac mae angen y ddau arnoch. Cadwch lwybr IPv6 yn eglur hefyd, gan nad yw ffurfweddu’r rhagddodiadau IPv4 yn dweud dim am gleient sy’n ffafrio IPv6.

Mae canllaw Google ar gyfer Private Google Access o’r rhwydwaith lleol yn cwmpasu’r cofnodion DNS a’r gofynion llwybro gyda’i gilydd, felly cymharwch eich gosodiadau datryswr a hysbysebu ag ef yn hytrach nag â’n swydd fforwm. Yna ailredwch yr un cais a nodwch yr ateb a’r llwybr yn yr un tocyn.