Cloud Run ja kohalik VPN: Direct VPC väljundi seadistamine

Tunnel töötab, VM jõuab kohaliku serverini ja Cloud Runi teenus aegub samal hostil. See on selle ülesande tavaline lähtepunkt ja tunnel on harva see, mis valesti on. Cloud Runi redaktsioon ei asu vaikimisi teie VPC-s, ja kui asub, kasutab see oma allikaaadresse, mitte VM-i alavõrku, mille te juba marsruutisite. Alljärgnev runbook ühendab teenuse, marsruudib selle tegeliku allikavahemiku ja tõestab seejärel tee redaktsioonist, mis päringut teenindas. Käivitage see selles järjekorras, sest esimese sammu vahelejätmine on põhjus, miks nii paljud neist juhtumitest lõpevad VPN-i muudatusega, mis ei paranda midagi.

Ühendage redaktsioon enne tunnelit siluda

Cloud Run toetab Direct VPC väljundit, mis paneb teenuse liikluse teie VPC alavõrku ilma Serverless VPC Accessi konnektorita. Olemasoleva teenuse puhul näeb uuendus välja nii:

gcloud run services update SERVICE \
  --region=REGION --network=NETWORK --subnet=SUBNET \
  --vpc-egress=private-ranges-only

Asendage kohahoidjad, vaadake üle, mida juurutus reaalsele liiklusele teeb, ja valige teenuse piirkonnas alavõrk, kus on piisav aadressimaht ja õiged võrguõigused.

Valige sihtkohaga sobiv väljundrežiim

private-ranges-only saadab sihtkohad, mille see liigitab privaatseks, läbi VPC. See ei tähenda „kõik, mis on VPN-i kaudu kättesaadav“, ja see lünk ilmneb siis, kui kohalik teenus asub vahemikus, mida seade nii ei liigita. Kui sihtkoht ei ole kaetud, on all-traffic teine dokumenteeritud režiim ja see saadab kõik läbi VPC, sealhulgas teenuse avalikud sõltuvused. Valige teadlikult ja kirjutage tagajärg muudatuse kirjesse.

Konnektorit juba kasutav teenus vajab migratsiooni, mitte lülitit, seega planeerige seda, mitte ärge seadistage mõlemat.

Marsruutige Cloud Runi allikas, mitte VM-i allikas

Direct VPC väljund eraldab valitud alavõrgust ajutisi aadresse ja kohalik pool peab liikluse sellesse vahemikku tagasi saatma. Teise VM-i alavõrgu jaoks kirjutatud tagasitee või tulemüüri luba näeb skeemil õige välja ja ebaõnnestub praktikas. Võtke alavõrgu CIDR VPC-st, mitte mälust, ja seejärel kinnitage, et kaugseadme krüpto-ACL või marsruutimistabel sisaldab seda.

Dünaamilise marsruutimise korral kontrollige, mida Cloud Router tegelikult kuulutab ja mida VPC impordib, sealhulgas kohandatud kuulutuspoliitikat. Marsruut, mis on konsoolis olemas, kuid pole selle sihtkoha jaoks valitud, on sama mis marsruudi puudumine.

Kolm tingimust, mis peavad kõik kehtima

Toimiv tee vajab kõike järgnevat ja igaüks neist ebaõnnestub omal moel:

• Marsruut VPC-s kohaliku prefiksi suunas kavandatud Cloud VPN-ühenduse kaudu.
• Tagasitee kohapeal Cloud Runi alavõrgu jaoks.
• Tulemüüri ja IPsec-kaitse ulatus, mis lubab allikat, sihtkohta ja porti.

Puuduv marsruut näeb tavaliselt välja nagu aegumine ilma tõenditeta kaugpoolel. Tagasitee probleem näeb välja nagu saabuv päring ja kaduv vastus. Tulemüüri või selektori probleem võib olenevalt seadmest näha välja nagu keeldumine või vaikne mahaviskamine. Selle väljaselgitamine, milline kolmest teil on, kitsendab järgmist käsku märkimisväärselt.

Ärge lisage lubatud loendisse üht ajutist Cloud Runi aadressi. Kasutage alavõrgu vahemikku ja rakendusele sobivat autoriseerimiskujundust.

Testige redaktsiooni, mis päringut teenindas

Enne testimist kontrollige juurutatud võrguseadeid ja liikluse jaotust, sest uuendus võib luua uue redaktsiooni, samal ajal kui päringud jõuavad veel vanemasse. Seejärel sooritage sama toiming, mida sooritab kasutaja päring, just sellest redaktsioonist. Kui sihtkoht on privaatne hostinimi, kontrollige selle lahendamist selles keskkonnas ja saadud aadressi, sest teie sülearvuti ettevõtte DNS-i vastus ei tõesta teenuse nimeruumi kohta midagi. Jätke TLS-i hostinime kontroll ja kaugrakenduse enda autentimine paigale.

Oodake dokumenteeritud Direct VPC käivitamise ühenduse viivitusi ja andke kliendile valmidus- või korduskatse strateegia, selle asemel et diagnoosida iga külmkäivitust katkise tunnelina.

Tagasipööramine ja mida see ei tee

Tagasipööramiseks taastage teenuse võrgu- ja väljundseaded nende varasematele väärtustele ja kinnitage, et varasem redaktsioon teenindab endiselt liiklust. Hoidke gcloud-käsk muudatuse kirjes, sest osalise muudatuse pööramine ei ole kuus nädalat hiljem ilmne. VPC-kinnituse eemaldamine viib teenuse tagasi selle varasemale väljundteele, mis võib olla täpselt see, mida te intsidendi ajal soovite.

See kujundus hõlmab ühendusi, mille Cloud Run algatab, ja nende vastuseid. See ei anna kohalikule võrgule teenuse sees adresseeritavat pesa, sest sissetulev avatus on ingress-otsus.