App Engine pääseb teie VPN-andmebaasini: mis peab kokku langema

Väide, et App Engine Standard ei pääse Cloud VPN-i kaudu privaatse andmebaasini, on platvormi varasema põlvkonna jäänuk. Standardi eksemplarid ei saa VPC-omast aadressi nagu mõned teised käituskeskkonnad, kuid nad saavad saata väljundit Serverless VPC Access-i konnektori kaudu, mis asub teie võrgus. Kui see tee on olemas, näevad Cloud VPN ja kaugtulemüür konnektori liiklust nagu iga teist allikat. Ebaõnnestub harva võimekus ise. See on üks kolmest seadest, mida kunagi ei joondatud.

Kust vana vastus tuli

Enne konnektorite olemasolu oli praktiline vastus tõesti see, et Standard sai rääkida ainult avalike lõpp-punktidega, ja meeskonnad liikusid selle vältimiseks puhverserveri VM-i või teise käituskeskkonda. Platvorm muutus, rahvajutt mitte. Paljud veebinõuanded peegeldavad endiselt ajastut, mil väljundivalikut üldse polnud.

Parandus on kitsam, kui kõlab. Standard pääseb privaatvõrku, kuid ainult toetatud väljundintegratsiooni kaudu ja ainult nende sihtkohtade jaoks, mille see integratsioon tegelikult kinni püüab.

Valige esmalt väljundtee

Teenusega seotud konnektor on see, mis viib selle liikluse VPC-sse. Konnektori dokumentatsioon loetleb piirkondliku eelduse ja väljundiseaded; konnektor peab eksisteerima teenuse piirkonnas ja olema juurutava identiteedi jaoks kasutatav.

vpc_access_connector:
  name: projects/PROJECT_ID/locations/REGION/connectors/CONNECTOR_NAME
  egress_setting: private-ranges-only

private-ranges-only saadab privaatsed sihtkohad VPC-sse ja jätab kõik muu tavalisse internetiteele, mida andmebaasiühendus tavaliselt vajab. all-traffic surub väljamineva liikluse laialt läbi VPC, nii et tavalised internetikõned pärivad ka VPC NAT-i ja tulemüüri hoiaku.

Faili kohalik muutmine ei muuda midagi enne juurutamist. Töötav versioon säilitab konfiguratsiooni, millega see loodi.

Lähteaadress on konnektor, mitte teie sülearvuti

Siia läheb suurem osa silumisajast. Kaug-VPN-lüüs ja andmebaasi tulemüür peavad VPC sees lubama konnektorile eraldatud vahemikku, mitte teie kontori aadressi ega teenuse avalikku väljundaadressi. Otsige see vahemik konsoolist üles enne, kui kirjutate ühegi reegli.

Veel kaks kohta peavad kokku langema. VPC marsruuditabel vajab marsruuti kauge andmebaasivõrguni ja kaugpool vajab konnektori vahemiku jaoks tagasiteed. Kui tunnel kasutab liiklusvalijaid, kinnitage, et konnektori vahemik asub läbiräägitud ulatuse sees. Marsruut, mis eksisteerib ainult suunas kaugelt kohalikule, on tavaline puudujääk ja laseb pingidel läbi ilma kunagi TCP-kätlust lõpule viimata.

Tunnel, mis lubab ainult VM-i alamvõrku, viskab konnektori paketid ilma kasuliku veateateta, mistõttu andmebaasi aegumine näeb välja nagu mandaadiprobleem.

DNS liigub teist teed

Privaatse andmebaasi hostinimi tuleb lahendada võrgus, kuhu konnektor jõuab, Cloud DNS-i vastastikuse sidumise või edastustsooni kaudu, mida VPC saab kasutada. Selle lahendamine teie tööjaamas ei tõesta teenuse kohta midagi, sest teie sülearvuti ei kasuta seda resolverit.

Kui nimi laheneb VPC seest avalikuks aadressiks, hakkate siluma vale tulemüüri.

URL Fetch ei kasuta konnektorit

Väljundiseade katab käituskeskkonna tavalised väljuvad soklid ja pärandteenus URL Fetch ei ole selle tee osa. urlfetchi kaudu esitatud päring eirab konnektorit, ükskõik mida konfiguratsioon ütleb. Kui ebaõnnestuv kõne asub vanemas teegis, mis kasutab endiselt URL Fetchi, on parandus viia see kõne standardse HTTP-kliendi peale.

Andmebaasidraiveri puhul on see harva probleemiks, kuid see on klassikaline põhjus, miks sama teenuse üks lõpp-punkt töötab ja teine mitte.

Kontrollige ühe kitsa päringuga

Juurutage ja käivitage seejärel juurutatud versioonist üks lubatud andmebaasitoiming, jälgides kaugepoolt. Andmebaasi või VPN-lüüsi logitud lähteaadress peaks olema konnektori oma. Kui pole, ei sisenenud päring kunagi VPC-sse ja ükski tunnelikonfiguratsioon ei paranda seda. Võrrelge seda vahemikuga, mille konsoolist üles otsisite; lahknevus tähendab tavaliselt, et versiooni teenindab teine konnektor.

Edukas päring VPC-sisesest VM-ist tõestab, et marsruut on olemas. See ei tõesta, et teenus selle valis.