VPN nei de VPC wurket, mar de beheard tsjinst rint op in time-out
De tunnel einiget op jo râne, net by de foardoar fan de leveransier. Klassifisearje it doel as VM-hosted, oan VPC keppele of allinnich iepenbier foardat jo in rûte feroarje.
It berikken fan in behearde databank fia in VPN mislearret meastentiids om in reden dy't nimmen yn it runbook skreau: de tunnel einiget op 'e râne fan jo netwurk, wylst de tsjinst nea oan jo kant dêrfan west hat. De rûtes tabel liket korrekt, de tunnel meldt dat er oan is, en de ferbining rint dochs op in time-out. Wurkje de fjouwer kontrôles hjirûnder yn folchoarder troch en stop by de earste waans betingst foar slagjen net foldien is, want elke kontrôle dêrnei giet derfan út dat de foarige slaggen.
Kontrôle ien: wêr libbet it einpunt eins?
In VPN-gateway ferbynt twa netwurken wêrfan jo de adressaasje beheare. In beheard tsjinst wurdt eksploitearre efter de eigen foardoar fan de leveransier, en dy doar nimt ien fan trije foarmen oan ôfhinklik fan it produkt. As jo net witte hokker foarm jo foar hawwe, sil gjin inkeld rûtewurk helpe, want de steuring is miskien hielendal gjin rûtesteuring.
| Shape | What it means | Pass condition |
|---|---|---|
| Software on your VM | Ordinary subnet addressing | Route and security group permit the client |
| Attached to your VPC | Private, but only inside that VPC | Endpoint associated, source allowed, route present |
| Provider-hosted, public endpoint | Optional private link, not private by default | A private endpoint exists and DNS points at it |
De measte fergriemde middeis komme fan it oerslaan fan dizze klassifikaasje en fuortendaliks nei de rûtes tabel gean. In by de leveransier hoste tsjinst mei in iepenbier einpunt sit net efter jo tunnel, wat it diagram ek seit, en ien dy't oan de VPC keppele is sil nea yn in iepenbier DNS-antwurd ferskine.
Kontrôle twa: in oan de VPC keppele tsjinst lykas ElastiCache
Caches fan dat soarte wurde binnen jo eigen VPC adressearre en hawwe hielendal gjin nei it ynternet rjochte harker. In kliïnt-VPN dat yn deselde VPC einiget kin se berikke, mar allinnich as trije betingsten gearfalle. It einpunt fan 'e cache moat keppele wêze oan subnetten dy't jo tunnel sjen kin, syn befeiligingsgroep moat it adres tastean dêr't jo kliïnten wei komme, en de kliïntkant hat in rûte nedich dy't de cache-subnetten beslacht.
De gewoane flater is oan te nimmen dat in ferbining earne tichtby meitelt. It ferbinen fan 'e VPN oan in oare VPC, of allinnich fertrouwe op peering, wreidet de befeiligingsgroep fan 'e cache of syn subnet-rûtes tabel net út nei jo kliïnten. As de besteande tunnel earne oars einiget, is in springhost of in VPN-tsjinner binnen dy VPC de gewoane falback. Dy falback is in omwei en gjin ûntwerp, en hy moat as sadanich yn it runbook markearre wurde.
Kontrôle trije: in PaaS-einpunt mei in iepenbiere tsjinnernamme
Azure Database for PostgreSQL presintearret in iepenbiere tsjinnernamme. It jout jo gjin privee adres dat jo yn in hosts-bestân fêstsette kinne en fia in gateway rûtesje kinne. Einpunten foar tsjinsten fan firtuele netwurken beheine hokker subnetten in boarne berikke meie; se jouwe gjin tastimming oan in lokale kliïnt dy't fia in VPN komt.
Privee tagong krije betsjut in privee einpunt of in private-keppeling-ûntwerp ynfiere en dan in privee DNS-sône tafoegje, sadat de iepenbiere namme mei dat einpunt antwurdet yn stee fan mei it ynternet. In VPN kombinearre mei in tsjinst-einpunt regel is in oare arsjitektuer dy't allinnich op in diagram itselde liket. App Service folget deselde logika út 'e oare rjochting: VNet-yntegraasje lit de app útgeande oproppen nei in VNet dwaan, en it makket gjin ynkommend privee paad fan jo tunnel. Ynkommende privee tagong freget dêrom in privee einpunt, in App Service Environment of in gateway foar de app, en hokker dêrfan jo brûke kinne hinget fan it plan ôf.
Kontrôle fjouwer: produkten mei har eigen foardoar
Firebase Hosting kin net oan in Cloud VPN keppele wurde, want de hosting-laach is in wrâldwiid frontend en net eat binnen in projekt-VPC. It dokumintearre alternatyf is it kontrolearre yngongspunt sels te bouwen, mei in proxy-eksimplaar of in load balancer stipe troch in bak. Yn beide gefallen hâldt de side op in suver hostingprodukt te wêzen en wurdt it ynfrastruktuer dy't jo no beheare. Dy ruil is it wurdich te neamen foardat immen taseit dat de tunnel it dekke sil.
Private API Gateway stiet tichter by de VPC-tsjinstkant: in interface-VPC-einpunt publisearret in hostnamme wêrfan de antwurden privee adressen binne, en ferkear fan jo perseel komt oer de tunnel of in tawijde ferbining. It einpunt moat oan 'e API keppele wêze, en it sertifikaat plus de hostnamme moatte oerienkomme mei it oanpaste domein dat oproppen brûke.
Google Cloud VPN-tunnels bine har oan peer-IP-adressen, net oan nammen. DNS-trochstjoering wurdt apart konfigurearre, en dêrom kin in tunnel folslein sûn wêze wylst sykjen yn 'e fiere privee sône noch mislearret.
Lokalisearje dan de grins
Run deselde ferbining fan in VM binnen de VPC. As it dêr slagget en fan 'e VPN-kliïnt mislearret, sit it gat tusken it kliïntpaad en it tsjinst-einpunt: in rûte, in befeiligingsgroep, in einpuntbelied of in namme. As beide besykjen mislearje, kin neat yn dat netwurk de tsjinst berikke, en wie de VPN nea it obstakel.
getent hosts db.internal.example
nc -vz db.internal.example 5432Doch it namme-sykjen en de poarte-kontrôle apart, want se mislearje om ferskillende redenen en it pear fertelt jo hokker helte fan it paad stikken is. In namme dy't nei in iepenbier adres oplost, fertelt jo dat de privee DNS-sône net yn it spul is.