Cloud Run VPN lokalera: Direct VPC irteeraren konfigurazioa

Cloud VPN tunel batek ez du Cloud Run sarean jartzen. Zerbitzua azpisare egokira konektatu, bere iturburu-tartea bideratu eta gero probatu berrikuspen hori.

Tunela martxan dago, VM batek tokiko zerbitzarira iristen da, eta Cloud Run zerbitzuak denbora-muga gainditzen du host berean. Hori da zeregin honen ohiko abiapuntua, eta tunela da gutxitan gaizki dagoena. Cloud Run berrikuspen bat ez dago zure VPCn lehenespenez, eta dagoenean, bere iturburu-helbideak erabiltzen ditu, dagoeneko bideratu duzun VM azpisarea erabili beharrean. Hurrengo runbookak zerbitzua konektatzen du, bere iturburu-tarte erreala bideratzen du eta gero eskaera zerbitzatu zuen berrikuspenetik bidea frogatzen du. Exekutatu ordena horretan, lehen urratsa saltzea baita horrelako kasu asko ezer konpontzen ez duen VPN aldaketan amaitzearen arrazoia.

Konektatu berrikuspena tunela araztu aurretik

Cloud Runek onartzen du Direct VPC irteera, zeinak zerbitzuaren trafikoa zure VPCko azpisare batean jartzen duen Serverless VPC Access konektorerik gabe. Dagoeneko badagoen zerbitzu baterako, eguneraketak itxura hau du:

gcloud run services update SERVICE \
  --region=REGION --network=NETWORK --subnet=SUBNET \
  --vpc-egress=private-ranges-only

Ordezkatu lekutuak, berrikusi inplementazioak zuzeneko trafikoari zer egiten dion, eta hautatu zerbitzuaren eskualdeko azpisare bat helbide-gaitasun nahikoa eta sare-baimen egokiak dituena.

Hautatu helmugarekin bat datorren irteera modua

private-ranges-only pribatu gisa sailkatzen dituen helmugak bidaltzen ditu VPC bidez. Horrek ez du esan nahi «VPN bidez irisgarri den edozer», eta hutsune hori agertzen da tokiko zerbitzua ezarpenak horrela sailkatzen ez duen tarte batean dagoenean. Helmuga estalita ez badago, all-traffic da beste modu dokumentatua, eta dena VPC bidez bidaltzen du, zerbitzuaren mendekotasun publikoak barne. Aukeratu kontzienteki eta idatzi ondorioa aldaketen erregistroan.

Konektore bat erabiltzen ari den zerbitzuak migrazioa behar du, ez etengailua, beraz, planifikatu biak konfiguratu beharrean.

Bideratu Cloud Run iturburua, ez VM iturburua

Direct VPC irteerak hautatutako azpisaretik aldi baterako helbideak esleitzen ditu, eta tokiko aldeak trafikoa tarte horretara itzuli behar du. Beste VM azpisare baterako idatzitako itzulera-bide batek edo suebaki-baimen batek ondo emango du diagraman eta huts egingo du praktikan. Hartu azpisarearen CIDRa VPCtik, ez memoriatik, eta gero egiaztatu urrutiko gailuaren crypto ACL edo bideratze-taulak barne hartzen duela.

Bideratze dinamikoarekin, egiaztatu Cloud Routerrek benetan iragartzen duena eta VPCk inportatzen duena, iragarki-politika pertsonalizatu oro barne. Kontsoluan badagoen baina helmuga honetarako hautatuta ez dagoen bide bat biderik ez egotearen berdina da.

Betebehar diren hiru baldintza

Bide eraginkor batek ondoko guztia behar du, eta bakoitzak bere moduan huts egiten du:

  • VPCn bide bat tokiko aurrizkira, aurreikusitako Cloud VPN konexioaren bidez.
  • Itzulera-bide bat tokiko aldean Cloud Run azpisarearentzat.
  • Suebaki eta IPsec babes-eremua, iturburua, helmuga eta ataka onartzen dituena.

Falta den bide bat denbora-muga gisa agertzen da normalean, urrutiko aldean frogarik gabe. Itzulera-bidearen arazo bat iristen den eskaera eta desagertzen den erantzun gisa agertzen da. Suebaki edo hautatzaile arazo bat ukoa edo isil-galera gisa ager daiteke, gailuaren arabera. Hiruetatik zein duzun zehazteak hurrengo komandoa asko murrizten du.

Ez sartu Cloud Run helbide iragankor bakar bat baimenduen zerrendan. Erabili azpisarearen tartea eta aplikazioari egokitzen zaion baimen-diseinua.

Probatu eskaera zerbitzatu zuen berrikuspena

Egiaztatu inplementatutako sare-ezarpenak eta trafikoaren banaketa probatu aurretik, eguneraketa batek berrikuspen berri bat sor baitezake eskaerek zaharrago batera oraindik iristen diren bitartean. Gero egin erabiltzailearen eskaerak egiten duen eragiketa bera, berrikuspen horretatik. Helmuga host-izen pribatu bat bada, egiaztatu haren ebazpena ingurune horretan eta sortu zuen helbidea, zure ordenagailu eramangarriaren enpresako DNS erantzunak ez baitu ezer frogatzen zerbitzuaren izen-espazioari buruz. Mantendu TLS host-izenaren egiaztapena eta urrutiko aplikazioaren autentifikazio propioa.

Espero itzazu Direct VPC abiarazteko konexio-atzerapen dokumentatuak, eta eman bezeroari prestutasun edo berriro saiatzeko estrategia, abiarazte hotz bakoitza tunel hautsitzat diagnostikatu beharrean.

Atzera egitea eta honek egiten ez duena

Atzera egiteko, itzuli zerbitzuaren sare- eta irteera-ezarpenak aurreko balioetara eta egiaztatu lehenagoko berrikuspenak oraindik trafikoa zerbitzatzen duela. Gorde gcloud komandoa aldaketen erregistroan, aldaketa partzial baten alderantzizkoa ez baita begi-bistakoa sei aste geroago. VPC eranskina kentzeak zerbitzua aurreko irteera-bidera itzultzen du, eta hori izan daiteke istripu batean zehar nahi duzun zehazki.

Diseinu honek Cloud Runek hasten dituen konexioak eta haien erantzunak hartzen ditu. Ez dio tokiko sareari zerbitzuaren barruan helbideragarri den socketik ematen, sarrerako esposizioa ingress erabakia baita.

Erlazionatutako artikuluak