Cloud Run ja paikallinen VPN: Direct VPC -lähdön määritys

Tunneli on pystyssä, VM tavoittaa paikallisen palvelimen ja Cloud Run -palvelu aikakatkaisee samalla isännällä. Tämä on tehtävän tavallinen lähtökohta, ja tunneli on harvoin se, mikä on vialla. Cloud Run -versio ei sijaitse oletuksena VPC:ssäsi, ja kun se sijaitsee, se käyttää omia lähdeosoitteitaan sen sijaan, että käyttäisi jo reitittämääsi VM-aliverkkoa. Alla oleva runbook liittää palvelun, reitittää sen todellisen lähdevalikoiman ja todistaa sitten polun versiosta, joka palveli pyynnön. Suorita se tässä järjestyksessä, koska ensimmäisen vaiheen ohittaminen on syy siihen, miksi niin moni näistä tapauksista päättyy VPN-muutokseen, joka ei korjaa mitään.

Liitä versio ennen kuin alat vianmäärittää tunnelia

Cloud Run tukee Direct VPC -lähtöä, joka sijoittaa palvelun liikenteen VPC:si aliverkkoon ilman Serverless VPC Access -liitintä. Olemassa olevan palvelun päivitys näyttää tältä:

gcloud run services update SERVICE \
  --region=REGION --network=NETWORK --subnet=SUBNET \
  --vpc-egress=private-ranges-only

Korvaa paikkamerkit, tarkista, mitä käyttöönotto tekee live-liikenteelle, ja valitse palvelun alueelta aliverkko, jossa on riittävä osoitekapasiteetti ja oikeat verkko-oikeudet.

Valitse lähtötila, joka vastaa kohdetta

private-ranges-only lähettää kohteet, jotka se luokittelee yksityisiksi, VPC:n kautta. Se ei tarkoita «kaikkea, mikä on VPN:n kautta tavoitettavissa», ja tämä aukko ilmenee, kun paikallinen palvelu on valikoimassa, jota asetus ei luokittele niin. Jos kohde ei ole katettu, all-traffic on toinen dokumentoitu tila, ja se lähettää kaiken VPC:n kautta, mukaan lukien palvelun julkiset riippuvuudet. Valitse tietoisesti ja kirjoita seuraus muutostietueeseen.

Palvelu, joka jo käyttää liitintä, vaatii siirtymän eikä kytkintä, joten suunnittele se sen sijaan, että määrittäisit molemmat.

Reititä Cloud Runin lähde, älä VM:n lähdettä

Direct VPC -lähtö varaa tilapäisiä osoitteita valitusta aliverkosta, ja paikallisen puolen on palautettava liikenne siihen valikoimaan. Toiselle VM-aliverkolle kirjoitettu paluureitti tai palomuurin sallinta näyttää kaaviossa oikealta ja epäonnistuu käytännössä. Ota aliverkon CIDR VPC:stä äläkä muistista ja vahvista sitten, että etälaitteen crypto ACL tai reititystaulukko sisältää sen.

Dynaamisella reitityksellä varmista, mitä Cloud Router todella mainostaa ja mitä VPC tuo, mukaan lukien mahdollinen mukautettu mainontakäytäntö. Reitti, joka on konsolissa mutta jota ei ole valittu tälle kohteelle, on sama kuin ei reittiä.

Kolme ehtoa, joiden kaikkien on täytyttävä

Toimiva polku vaatii kaikki seuraavat, ja jokainen niistä epäonnistuu omalla tavallaan:

• Reitti VPC:ssä kohti paikallista etuliitettä aiottu Cloud VPN -yhteyden kautta.
• Paluureitti paikallisella puolella Cloud Run -aliverkolle.
• Palomuurin ja IPsecin suojausalue, joka sallii lähteen, kohteen ja portin.

Puuttuva reitti näyttää yleensä aikakatkaisulta ilman todisteita etäpuolella. Paluureitin ongelma näyttää saapuvalta pyynnöltä ja katoavalta vastaukselta. Palomuurin tai valitsimen ongelma voi näyttää hylkäykseltä tai hiljaiselta pudotukselta laitteesta riippuen. Sen selvittäminen, mikä kolmesta sinulla on, kaventaa seuraavaa komentoa huomattavasti.

Älä lisää yhtä tilapäistä Cloud Run -osoitetta sallittujen luetteloon. Käytä aliverkon valikoimaa ja sovellukseen sopivaa valtuutusmallia.

Testaa versio, joka palveli pyynnön

Tarkastele käyttöönotettuja verkkoasetuksia ja liikenteen jakoa ennen testaamista, koska päivitys voi luoda uuden version, kun pyynnöt vielä tavoittavat vanhemman. Suorita sitten sama toiminto, jonka käyttäjän pyyntö suorittaa, juuri siitä versiosta. Jos kohde on yksityinen isäntänimi, tarkista sen selvitys kyseisessä ympäristössä ja tuotettu osoite, koska kannettavasi yrityksen DNS-vastaus ei todista mitään palvelun nimiavaruudesta. Pidä TLS-isäntänimen vahvistus ja etäsovelluksen oma todennus paikallaan.

Odota dokumentoituja Direct VPC:n käynnistysviiveitä ja anna asiakkaalle valmius- tai uudelleenyritysstrategia sen sijaan, että diagnoisit jokaisen kylmäkäynnistyksen rikkinäiseksi tunneliksi.

Palautus ja mitä tämä ei tee

Palauta palvelun verkko- ja lähtöasetukset aiempiin arvoihinsa ja vahvista, että aiempi versio palvelee edelleen liikennettä. Pidä gcloud-komento muutostietueessa, koska osittaisen muutoksen käänteisversio ei ole ilmeinen kuuden viikon kuluttua. VPC-liitoksen poistaminen palauttaa palvelun aiemmalle lähtöpolulleen, mikä voi olla juuri se, mitä haluat tapahtuman aikana.

Tämä suunnittelu kattaa yhteydet, jotka Cloud Run aloittaa, ja niiden vastaukset. Se ei anna paikalliselle verkolle osoitettavaa pistoketta palvelun sisällä, koska sisäänpäin suuntautuva altistus on ingress-päätös.