Mae VPN i'r VPC yn gweithio, ond mae'r gwasanaeth a reolir yn goramseru
Mae'r twnnel yn gorffen ar eich ymyl chi, nid wrth ddrws ffrynt y darparwr. Dosbarthwch y targed fel un a gynhelir ar VM, wedi'i atodi i VPC neu'n gyhoeddus yn unig cyn newid llwybr.
Mae cyrraedd cronfa ddata a reolir drwy VPN fel arfer yn methu am reswm na ysgrifennodd neb yn y llawlyfr: mae'r twnnel yn gorffen ar ymyl eich rhwydwaith, tra na fu'r gwasanaeth erioed ar eich ochr chi ohono. Mae'r tabl llwybrau'n edrych yn gywir, mae'r twnnel yn adrodd ei fod i fyny, ac mae'r cysylltiad yn goramseru beth bynnag. Ewch drwy'r pedwar gwiriad isod yn eu trefn a stopiwch yn y cyntaf y mae ei amod llwyddiant yn anghywir, oherwydd mae pob gwirio wedi hynny'n tybio bod y rhai cynt wedi pasio.
Gwirio cyntaf: ble mae'r pen pellaf yn byw mewn gwirionedd?
Mae porth VPN yn uno dwy rwydwaith y mae eu cyfeiriannu o dan eich rheolaeth chi. Gweithredir gwasanaeth a reolir y tu ôl i ddrws ffrynt y darparwr ei hun, ac mae'r drws hwnnw'n cymryd un o dri siâp yn dibynnu ar y cynnyrch. Os nad ydych yn gwybod pa siâp sy'n wynebu chi, ni fydd unrhyw faint o waith llwybrau'n helpu, oherwydd efallai nad methiant llwybro mohono o gwbl.
| Shape | What it means | Pass condition |
|---|---|---|
| Software on your VM | Ordinary subnet addressing | Route and security group permit the client |
| Attached to your VPC | Private, but only inside that VPC | Endpoint associated, source allowed, route present |
| Provider-hosted, public endpoint | Optional private link, not private by default | A private endpoint exists and DNS points at it |
Daw'r rhan fwyaf o brynhawniau coll o hepgor y dosbarthiad hwn a mynd yn syth at y tabl llwybrau. Nid yw gwasanaeth a gynhelir gan y darparwr gyda phen pellaf cyhoeddus y tu ôl i'ch twnnel, beth bynnag mae'r diagram yn ei ddweud, ac ni fydd un sydd wedi'i atodi i VPC byth yn ymddangos mewn ateb DNS cyhoeddus.
Ail wirio: gwasanaeth wedi'i atodi i VPC fel ElastiCache
Cyfeirir storfa gudd o'r math hwnnw y tu mewn i'ch VPC eich hun ac nid oes ganddynt unrhyw wrandawr sy'n wynebu'r rhyngrwyd o gwbl. Gall VPN cleient sy'n gorffen yn yr un VPC eu cyrraedd, ond dim ond pan ddaw tri amod ynghyd. Rhaid i ben pellaf y storfa gudd fod yn gysylltiedig â subnets y gall eich twnnel eu gweld, rhaid i'w grŵp diogelwch ganiatáu'r cyfeiriad y mae eich cleientiaid yn dod ohono, ac mae angen llwybr ar yr ochr cleient sy'n cwmpasu subnets y storfa gudd.
Y camgymeriad cyffredin yw tybio bod cysylltiad yn rhywle gerllaw yn cyfrif. Nid yw atodi'r VPN i VPC gwahanol, nac ymddiried yn y peering yn unig, yn ymestyn grŵp diogelwch y storfa gudd na thabl llwybrau ei subnet i'ch cleientiaid. Pan fydd y twnnel presennol yn gorffen yn rhywle arall, gwesteiwr naid neu weinydd VPN wedi'i osod y tu mewn i'r VPC hwnnw yw'r ateb wrth gefn arferol. Gwaith osgoi yn hytrach na dyluniad yw'r ateb wrth gefn hwnnw, a dylid ei labelu felly yn y llawlyfr.
Trydydd gwirio: pen pellaf PaaS ag enw cyhoeddus
Mae Azure Database for PostgreSQL yn cyflwyno enw gweinydd cyhoeddus. Nid yw'n rhoi cyfeiriad preifat y gallwch ei binio mewn ffeil hosts a'i lwybro drwy borth. Mae pen pellaf gwasanaeth rhwydwaith rhithwir yn cyfyngu pa subnets all gyrraedd adnodd; nid ydynt yn awdurdodi cleient ar y safle sy'n cyrraedd dros VPN.
Mae cael mynediad preifat yn golygu cyflwyno pen pellaf preifat neu ddyluniad cyswllt preifat, yna ychwanegu parth DNS preifat fel bod yr enw cyhoeddus yn ateb gyda'r pen pellaf hwnnw yn lle'r rhyngrwyd. Mae VPN wedi'i gyfuno â rheol pen pellaf gwasanaeth yn bensaernïaeth wahanol sy'n edrych yn debyg mewn diagram yn unig. Mae App Service yn dilyn yr un rhesymeg o'r cyfeiriad arall: mae integreiddio VNet yn caniatáu i'r ap wneud galwadau allanol i VNet, ac nid yw'n creu llwybr preifat sy'n dod i mewn o'ch twnnel. Felly mae angen pen pellaf preifat, Amgylchedd App Service neu borth o flaen yr ap ar gyfer mynediad preifat sy'n dod i mewn, ac mae pa un o'r rheini y gallwch ei ddefnyddio yn dibynnu ar y cynllun.
Pedwerydd gwirio: cynhyrchion â'u drws ffrynt eu hunain
Ni ellir atodi Firebase Hosting i Cloud VPN, oherwydd mae'r haen gynnal yn flaenell fyd-eang yn hytrach na rhywbeth y tu mewn i VPC prosiect. Yr amgen a ddogfenwyd yw adeiladu'r pwynt mynediad rheoledig eich hun, gyda gweinydd dirprwyol neu falansydd llwyth a gefnogir gan bwced. Naill ffordd neu'r llall mae'r safle'n peidio â bod yn gynnyrch cynnal pur ac yn dod yn isadeiledd rydych chi'n ei weithredu nawr. Mae'n werth enwi'r fasnach hon cyn i rywun addo y bydd y twnnel yn ei chwmpasu.
Mae Private API Gateway yn sefyll yn nes at ochr gwasanaethau VPC: mae pen pellaf VPC rhyngwyneb yn cyhoeddi enw gwesteiwr y mae ei atebion yn gyfeiriadau preifat, ac mae traffig o'ch safle'n cyrraedd dros y twnnel neu rynggysylltiad pwrpasol. Rhaid i'r pen pellaf fod yn gysylltiedig â'r API, a rhaid i'r dystysgrif a'r enw gwesteiwr gyfateb i'r parth cyfaddas y mae'r galwyr yn ei ddefnyddio.
Mae twneli Google Cloud VPN yn rhwymo i gyfeiriadau IP cymar, nid i enwau. Ffurfweddir anfon DNS ar wahân, a dyna pam y gall twnnel fod yn hollol iach tra bod chwiliadau yn y parth preifat pell yn dal i fethu.
Yna lleolwch y ffin
Rhedwch yr un cysylltiad o VM y tu mewn i'r VPC. Pan fydd yn llwyddo yno ac yn methu o'r cleient VPN, mae'r bwlch rhwng llwybr y cleient a phen pellaf y gwasanaeth: llwybr, grŵp diogelwch, polisi pen pellaf neu enw. Pan fydd y ddau ymgais yn methu, ni all unrhyw beth yn y rhwydwaith honno gyrraedd y gwasanaeth, ac nid y VPN oedd y rhwystr erioed.
getent hosts db.internal.example
nc -vz db.internal.example 5432Gwnewch y chwiliad enw a'r gwiriad porth ar wahân, oherwydd maent yn methu am resymau gwahanol ac mae'r pâr yn dweud wrthych pa hanner o'r llwybr sydd wedi torri. Mae enw sy'n datrys i gyfeiriad cyhoeddus yn dweud wrthych nad yw'r parth DNS preifat ar waith.