App Engine-k zure VPN datu-basera irits daiteke: zer etorri behar du bat

App Engine Standard-ek Cloud VPN bidez datu-base pribatu batera irits ezin duenaren baieztapena plataformaren aurreko belaunaldi baten hondarra da. Standard instantziek ez dute VPC-ren berezko helbidetik jasotzen beste exekuzio-ingurune batzuek bezala, baina irteera bidal dezakete zure sarean bizi den Serverless VPC Access konektore baten bidez. Bide hori existitzen denean, Cloud VPN-k eta urrutiko suebakiak konektorearen trafikoa beste edozein iturri bezala ikusten dute. Gutxitan huts egiten du gaitasunak berak. Inoiz lerrokatu ez ziren hiru ezarpenetako bat da.

Nondik zetorren erantzun zaharra

Konektoreak egon aurretik, erantzun praktikoa benetan zen Standard-ek amaiera publikoekin soilik hitz egin zezakeela, eta taldeak proxy VM batera edo beste exekuzio-ingurune batera pasatzen ziren hori saihesteko. Plataforma aldatu zen, folklorea ez. Lineako aholku askok oraindik irteera aukerarik ez zegoen garaia islatzen dute.

Zuzenketa dirudien baino estuagoa da. Standard sare pribatura irits daiteke, baina soilik onartutako irteera-integrazio baten bidez, eta integrazio horrek benetan harrapatzen dituen helmugaetarako soilik.

Aukeratu lehenik irteera-bidea

Zerbitzuari erantsitako konektoreak sartzen du bere trafikoa VPC-n. Konektorearen dokumentazioak eskualdeko baldintza eta irteera-ezarpenak zerrendatzen ditu; konektoreak zerbitzuaren eskualdean egon behar du eta inplementatzen duen identitateak erabilgarria izan behar du.

vpc_access_connector:
  name: projects/PROJECT_ID/locations/REGION/connectors/CONNECTOR_NAME
  egress_setting: private-ranges-only

private-ranges-only-ek helmuga pribatuak VPC-ra bidaltzen ditu eta gainerako guztia interneteko bide arruntean uzten du, eta hori da normalean datu-baseko konexio batek behar duena. all-traffic-ek irteerako trafikoa VPC-tik zabal bultzatzen du, beraz interneteko dei arruntek VPC-ren NAT eta suebaki jarrera ere heredatzen dute.

Fitxategia lokalean editatzeak ez du ezer aldatzen inplementatu arte. Exekutatzen ari den bertsioak sortu zeneko konfigurazioa gordetzen du.

Jatorrizko helbidea konektorea da, ez zure ordenagailu eramangarria

Hona joaten da arazte-denbora gehiena. Urrutiko VPN atebideak eta datu-basearen suebakiak VPC barruan konektoreari esleitutako barrutia onartu behar dute, ez zure bulegoko helbidea eta ez zerbitzuaren irteera-helbide publikoa. Bilatu barruti hori kontsolan arau bakarra idatzi aurretik.

Beste bi tokik bat etorri behar dute. VPC-ren bide-taulak urrutiko datu-base sarearekiko bidea behar du, eta urrutiko aldeak konektorearen barrutiarentzako itzulera-bidea behar du. Tunelak trafiko-hautatzaileak erabiltzen baditu, egiaztatu konektorearen barrutia negoziatutako esparruaren barruan dagoela. Urrutitik lokalera noranzkoan soilik existitzen den bidea huts egin ohi da, eta ping-ak pasatzen uzten ditu TCP eskua ezertan amaitu gabe.

VM azpisare bat soilik onartzen duen tunelak konektorearen paketeak botako ditu errore-mezu erabilgarririk gabe, eta horregatik datu-basearen denbora-muga kredentzialen arazoa dirudi.

DNS beste bide batetik doa

Datu-base pribatu baten ostalari-izenak konektoreak iristen duen sarean ebatzita egon behar du, Cloud DNS parekatzearen edo VPC-k erabil dezakeen birbidaltze-gune baten bidez. Zure lan-estazioan ebazteak ez du ezer frogatzen inplementatutako zerbitzuaz, zure ordenagailuak ez baitu ebazle hori erabiltzen.

Izena VPC barrualdetik helbide publikora ebazten bada, suebaki okerra arazteko zorian zaude.

URL Fetch-ek ez du konektorea erabiltzen

Irteera-ezarpenak exekuzio-ingurunearen irteerako socket arruntak estaltzen ditu, eta jasotako URL Fetch zerbitzua ez da bide horren parte. urlfetch bidez igorritako eskaerak konektorea alde batera uzten du konfigurazioak esan arren. Hutsegiten duen deia URL Fetch oraindik erabiltzen duen liburutegi zahar batean dagoenean, konponbidea dei hori HTTP bezero estandarrera mugitzea da.

Datu-baseko kontrolatzaile batentzat gutxitan da arazoa, baina arrazoi klasikoa da zerbitzu beretik amaiera bat funtzionatzeko eta beste bat ez.

Egiaztatu kontsulta estu batekin

Inplementatu, eta gero exekutatu baimentzen den datu-base eragiketa bakarra inplementatutako bertsiotik, urrutiko aldea behatuz. Datu-baseak edo VPN atebideak erregistratutako jatorrizko helbidea konektorearena izan behar da. Ez bada, eskaerak ez zuen sekula VPC-ra sartu eta tunel-konfigurazioak ez du konponduko. Konparatu kontsolan bilatu zenuen barrutiarekin; desadostasunak normalean esan nahi du bigarren konektore bat ari dela bertsioari zerbitzatzen.

VPC barruko VM batetik egindako kontsulta arrakastatsuak bidea existitzen dela frogatzen du. Ez du frogatzen zerbitzuak hura aukeratu zuenik.