Google API VPN bidez: bideratu VIPa, ez soilik azpisarea
VPC azpisarera doan ibilbideak ez ditu APIaren VIPak hautatzen. Ebatzi izen egokiak, iragarri VIP aurrizkia, mantendu VPCko itzulera bidea, eta gero probatu HTTPS.
Sartu SSH bidez tokiko zerbitzarian, altxatu tunela eta VM pribatuak erantzuten du; gero Google API baterako lehen deiak huts egiten du ibilbiderik gabe. VMren azpisarea eta APIaren VIPak helmuga desberdinak dira, beraz baten ibilbideak ez du bestea hautatzen. Hiru baldintza bete behar dira API dei pribatu batek funtziona dezan. APIaren izenak VIP batera ebatzi behar du, VIP aurrizkia tuneletik iragarri behar da, eta VPCk jakin behar du erantzuna nola bidali atzera. Ping batek ez dizu horietako ezer esaten, eta azpisareko makinara doan SSH saio funtzional batek ere ez.
APIaren VIPak helmuga bereiziak dira
Googleren tokiko sareko API sarbiderako VIP dedikatuak argitaratzen ditu, eta horiek dira zure DNSak API izenetarako itzuli behar dituen helbideak. Biak aurrizki txikiak dira eta bat ere ez da RFC 1918 espazioa:
| Record | Resolves to | What it does not give you |
|---|---|---|
| private.googleapis.com | 199.36.153.8/30, the general front door for Google APIs | not a bypass around a service perimeter |
| restricted.googleapis.com | 199.36.153.4/30, reachable only for services a perimeter allows | not the whole API surface, so some names stay out of reach |
Itxura publikoa duten helbideek ez dute esan nahi ibilbideak tunela utzi behar duenik ohiko internetarentzat. Aurrizkiak badaude, tokiko bezero batek Google aurrealdeetara bide onartu batetik iritsi ahal izateko, irteera-puntu arbitrario batetik beharrean. Hartu itzazu tunelekoak diren helmuga gisa, ez miatzeko ostalari gisa. Internet irteerarako idatzitako suebaki arau batek normalean baztertu egiten ditu, eta hori da dei bat hasi aurretik huts egiteko arrazoi ohikoena.
DNSak erabakitzen du zein muturretara iristen zaren
Puntuatu tokiko ebazlea hautatutako muturrerako Googlek dokumentatzen dituen erregistroetara, aplikazioak behar dituen izenek VIP horrekin erantzun dezaten. Bakarrik googleapis.com ez da inbentario bat: pakete erregistroek, edukiontzi erregistroek eta migrazio konektoreek beren izen dokumentatuak dituzte. VIP mugatuak ez du zerbitzu guztia eramaten ere, beraz ebazten den izen bat oraindik onartu gabe egon daiteke. Idatzi aplikazioak benetan ukitzen dituen domeinuak ebazlea ukitu aurretik.
VPCko VM helbide bat zerbitzu izen baten ordez asmatzea ez da konponbidea, eta normalean DNS hutsunea ezkutatzen du beste bezero batek huts egin arte.
Iragarri VIP aurrizkia, mantendu gainerakoa
BGP oinarriko konexio batekin, Cloud Routerrek hautatutako VIP aurrizkia iragarri behar du, tokiko routerrak barruti hori aurreikusitako saioaren bidez ikas dezan. VPC azpisareak soilik iragartzeak ez du barruti hori gehitzen, eta tokiko routerrak helbide horietarako bere bide lehenetsia erabiltzen jarraitzen du. Bideratze taulako aurrizkia da iragarpenak saioa gurutzatu zuela dioen froga bakarra.
Mantendu lehendik dauden iragarpenak berria gehitzen duzun bitartean, router mailako eta pare mailako aukerak ez baitira irismen berekoak, eta multzoa aldatzeak jada funtzionatzen zuten sareak erretira ditzake. Gero egiaztatu iragarpen eraginkorra saio bakoitzean, router osoan beharrean. Falta den aurrizki batek eta erretiratutako aurrizki batek berdin dirudite tokiko aldetik, beraz saioaren ikuspegia da isiltzea erregresiotik bereizten duena.
VPC alderdiak bere bidea eta itzulera bidea behar ditu
VPCren barruan, VIParen bideak interneteko ate lehenetsia erabili behar du hurrengo jauzi gisa, eta izena gorabehera trafiko hori Googleren sarean geratzen da. VPCk VPN bidez tokiko iturburura itzultzeko bidea ere behar du, eta hori iragarritako aurrizkitik bereizitako objektua da. Kontuan hartu dokumentatutako eskualde bideratze baldintzak, tunela eta bezeroa eskualde berean ez daudenean.
Egiaztatu itzulera bidea modu independentean, eskaera norabide funtzional batek erantzun norabide hautsia ezkuta baitezake. Bi norabide, bi ibilbide, eta bakoitzak bere sintomarekin egiten du huts.
Probatu eskaera, gero irakurri ukapena
ICMP oihuak ez du erantzunik jasotzen VIP hauetatik, beraz ping hutsak ez du ezer frogatzen eta arrakastatsuak oso gutxi. Benetako bezerotik, aztertu izenaren erantzuna eta hautatutako ibilbidea, eta gero egin HTTPS eskaera baimendu bat interesatzen zaizun zerbitzura. Eskaerak zerbitzura iritsi eta ukatzen bada, begiratu kredentzialak, IAM eta aplikagarri den zerbitzu perimetro politika oro.
Bideratze pribatuak ez du API baimenik ematen eta ez du aldatzen identitateak zer egin dezakeen. Garraio arrakasta eta erantzun baimendua emaitza bereiziak dira, eta biak behar dituzu. Eutsi IPv6 bidea esplizitu ere, IPv4 aurrizkiak konfiguratzeak ez baitu ezer esaten IPv6 nahiago duen bezero bati buruz.
Googleren gida Private Google Access tokiko saretik DNS erregistroak eta bideratze baldintzak batera hartzen ditu, beraz alderatu zure ebazle eta iragarpen ezarpenak harekin, foro bateko mezuekin baino. Gero exekutatu berriro eskaera bera eta idatzi erantzuna eta ibilbidea tiketean bertan.