Cloud Run nei pleatst VPN: Direct VPC-útgong ynstelle

In Cloud VPN-tunnel set Cloud Run net op it netwurk. Keppelje de tsjinst oan it goede subnet, rûte it boarneberik, en testje dan dy ferzje.

De tunnel is omheech, in VM berikt de pleatslike server, en de Cloud Run-tsjinst rint op deselde host yn in tiidferstek. Dat is it normale begjinpunt foar dizze taak, en de tunnel is selden wat der mis is. In Cloud Run-ferzje sit standert net yn jo VPC, en as dat wol sa is, brûkt it syn eigen boarneadressen yn plak fan it VM-subnet dat jo al rûte hawwe. De runbook hjirûnder keppelt de tsjinst, rûtelet har werklike boarneberik en bewissiget dan it paad fan de ferzje dy't it fersyk betsjinne hat. Rin it yn dy folchoarder, want it oerslaan fan de earste stap is de reden dat safolle fan dizze gefallen einigje yn in VPN-feroaring dy't neat reparearret.

Keppelje de ferzje foardat jo de tunnel debugge

Cloud Run stipet Direct VPC-útgong, dy't it ferkear fan de tsjinst op in subnet yn jo VPC set sûnder in Serverless VPC Access-connecter. Foar in besteande tsjinst sjocht de bywurking der sa út:

gcloud run services update SERVICE \
  --region=REGION --network=NETWORK --subnet=SUBNET \
  --vpc-egress=private-ranges-only

Ferfange de plakhâlders, besjoch wat de útrieding mei libbene ferkear docht, en kies in subnet yn de regio fan de tsjinst mei genôch adreskapasiteit en de juste netwurkbetingsten.

Kies de útgongmodus dy't by de bestimming past

private-ranges-only stjoert de bestimmingen dy't it as privee klassifisearret troch de VPC. Dat betsjut net «alles wat oer de VPN berikber is», en dat gat ûntstiet as de pleatslike tsjinst yn in berik sit dat de ynstelling net sa klassifisearret. As de bestimming net dekt is, is all-traffic de oare dokumintearre modus, en dy stjoert alles troch de VPC, ynklusyf de iepenbiere ôfhinklikens fan de tsjinst. Kies bewust en skriuw de gefolgen yn it wizigingsrecords.

In tsjinst dy't al in connecter brûkt is in migraasje, net in skeakel, dus plan dy yn plak fan beide te konfigurearjen.

Rûtelet de Cloud Run-boarne, net in VM-boarne

Direct VPC-útgong jout tydlike adressen út it keazen subnet, en de pleatslike kant moat ferkear weromstjoere nei dat berik. In weromrûte of firewalltastimming skreaun foar in oar VM-subnet sil op it diagram korrekt lykje en yn 'e praktyk mislearje. Nim it subnet-CIDR út de VPC yn plak fan út it ûnthâld, en befêstigje dan dat de crypto-ACL of rûtetabel fan it ôfstâne apparaat it befettet.

Mei dynamyske rûtelearring, ferifiearje wat Cloud Router feitlik oankundiget en wat de VPC importearret, ynklusyf elk oanpast oankundigingsbelied. In rûte dy't yn 'e konsole bestiet mar net keazen is foar dizze bestimming is itselde as gjin rûte.

Trije betingsten dy't allegear jilde moatte

In wurkjend paad hat alles fan it folgjende nedich, en elk fan harren mislearret op syn eigen manier:

  • In rûte yn 'e VPC nei it pleatslike foarheaksel fia de bedoelde Cloud VPN-ferbining.
  • In weromrûte pleatslik foar it Cloud Run-subnet.
  • Firewall- en IPsec-beskermingsberik dat de boarne, bestimming en poarte tastiet.

In ûntbrekkende rûte liket normaal op in tiidferstek sûnder bewiis oan 'e ôfstâne kant. In probleem mei de weromrûte liket op in fersyk dat oankomt en in antwurd dat ferdwynt. In firewall- as selektorprobleem kin der as in ôfwizing of as in stil ferdwinen útsjen, ôfhinklik fan it apparaat. Utfine hokker fan de trije jo hawwe makket it folgjende kommando folle smeller.

Set gjin inkeld tydlik Cloud Run-adres op 'e tastiene list. Brûk it subnetberik en in autorisaasje-ûntwerp dat by de applikaasje past.

Test de ferzje dy't it fersyk betsjinne hat

Besjoch de útrôle netwurkynstellingen en de ferkearsferdieling foardat jo teste, want in bywurking kin in nije ferzje meitsje wylst fersiken noch in âldere berikke. Fier dan deselde operaasje út dy't it fersyk fan de brûker útfiert, fan dy ferzje. As de bestimming in privee hostnamme is, kontrolearje dan de resolúsje dêrfan yn dat omjouwing en it adres dat it oplevere, want it bedriuws-DNS-antwurd fan jo laptop bewissiget neat oer de nammeromte fan de tsjinst. Hâld TLS-hostnammeferifikaasje en de eigen autentikaasje fan 'e ôfstâne applikaasje yn stân.

Ferwachtsje de dokumintearre Direct VPC-ferbiningfertragingen by it opstarten, en jou de klant in klearheids- of weromprobearringsstrategy yn plak fan elke kâlde start as in brutsen tunnel te diagnostisearjen.

Weromdraaie en wat dit net docht

Om werom te draaien, set de netwurk- en útgongynstellingen fan de tsjinst werom nei har eardere wearden en befêstigje dat de eardere ferzje noch ferkear betsjinnet. Hâld it gcloud-kommando yn it wizigingsrecords, want it omkearde fan in partiele wiziging is seis wiken letter net fanselssprekkend. It ferwiderjen fan de VPC-keppeling bringt de tsjinst werom nei har eardere útgongpaad, wat krekt wêze kin wat jo by in ynridint wolle.

Dit ûntwerp dekt ferbiningen dy't Cloud Run begjint en har antwurden. It jout it pleatslike netwurk gjin adressearbere socket binnen de tsjinst, want bleatstelling nei binnen is in ingress-beslissing.

Relatearre artikelen