Cloud Run થી ઓન-પ્રિમાઇઝિસ VPN: Direct VPC egress સેટઅપ

Cloud VPN ટનલ Cloud Run ને નેટવર્ક પર મૂકતું નથી. સેવાને યોગ્ય સબનેટ સાથે જોડો, તેની સ્ત્રોત શ્રેણી રૂટ કરો, પછી તે રિવિઝનનું પરીક્ષણ કરો.

ટનલ ચાલુ છે, એક VM ઓન-પ્રિમાઇઝિસ સર્વર સુધી પહોંચે છે, અને Cloud Run સેવા એ જ હોસ્ટ પર સમય સમાપ્ત થાય છે. આ કાર્ય માટેનું આ સામાન્ય પ્રારંભિક બિંદુ છે, અને ટનલ ભાગ્યે જ ખોટું હોય છે. Cloud Run રિવિઝન ડિફોલ્ટ રૂપે તમારા VPC માં બેસતું નથી, અને એક વાર બેસે ત્યારે તે તમે પહેલેથી રૂટ કરેલા VM સબનેટને બદલે પોતાના સ્ત્રોત સરનામાં વાપરે છે. નીચેનું રનબુક સેવાને જોડે છે, તેની વાસ્તવિક સ્ત્રોત શ્રેણી રૂટ કરે છે, અને પછી જે રિવિઝને વિનંતી સેવા કરી તેના પરથી માર્ગ સાબિત કરે છે. તેને એ જ ક્રમમાં ચલાવો, કારણ કે પહેલું પગલું છોડવું એ જ કારણ છે કે આવા ઘણા કિસ્સા એવા VPN ફેરફારમાં પૂરા થાય છે જે કંઈ સુધારતું નથી.

ટનલ ડિબગ કરતાં પહેલાં રિવિઝન જોડો

Cloud Run સપોર્ટ કરે છે Direct VPC egress, જે Serverless VPC Access કનેક્ટર વિના સેવાના ટ્રાફિકને તમારા VPC ના સબનેટ પર મૂકે છે. હાલની સેવા માટે અપડેટ આવું દેખાય છે:

gcloud run services update SERVICE \
  --region=REGION --network=NETWORK --subnet=SUBNET \
  --vpc-egress=private-ranges-only

પ્લેસહોલ્ડર બદલો, ડિપ્લોયમેન્ટ લાઇવ ટ્રાફિક સાથે શું કરે છે તેની સમીક્ષા કરો, અને સેવાના પ્રદેશમાં પૂરતી સરનામાં ક્ષમતા અને યોગ્ય નેટવર્ક પરવાનગીઓ ધરાવતું સબનેટ પસંદ કરો.

ગંતવ્ય સાથે મેળ ખાતો એગ્રેસ મોડ પસંદ કરો

private-ranges-only જે ગંતવ્યોને તે ખાનગી તરીકે વર્ગીકૃત કરે છે તેને VPC દ્વારા મોકલે છે. તેનો અર્થ «VPN દ્વારા પહોંચી શકાય તેવું બધું» એવો નથી, અને એ અંતર ત્યારે દેખાય છે જ્યારે ઓન-પ્રિમાઇઝિસ સેવા એવી શ્રેણીમાં હોય જેને સેટિંગ આ રીતે વર્ગીકૃત કરતું નથી. જો ગંતવ્ય આવરી લેવાયું ન હોય, તો all-traffic બીજો દસ્તાવેજીકૃત મોડ છે, અને તે સેવાના જાહેર આધારો સહિત બધું VPC દ્વારા મોકલે છે. સભાનપણે પસંદ કરો અને પરિણામ ફેરફાર રેકોર્ડમાં લખો.

પહેલેથી કનેક્ટર વાપરતી સેવા ટૉગલ નહીં પણ માઇગ્રેશન છે, તેથી બંને ગોઠવવાને બદલે તેનું આયોજન કરો.

VM સ્ત્રોત નહીં, Cloud Run સ્ત્રોત રૂટ કરો

Direct VPC egress પસંદ કરેલા સબનેટમાંથી ક્ષણિક સરનામાં ફાળવે છે, અને ઓન-પ્રિમાઇઝિસ બાજુએ ટ્રાફિક તે શ્રેણીમાં પાછો મોકલવો પડે છે. બીજા VM સબનેટ માટે લખાયેલ રિટર્ન રૂટ અથવા ફાયરવોલ પરવાનગી ડાયાગ્રામમાં સાચી દેખાશે અને વ્યવહારમાં નિષ્ફળ જશે. સબનેટ CIDR મેમરીમાંથી નહીં, VPC માંથી લો, પછી ખાતરી કરો કે રિમોટ ઉપકરણની ક્રિપ્ટો ACL અથવા રૂટ કોષ્ટકમાં તેનો સમાવેશ છે.

ગતિશીલ રૂટિંગ સાથે, Cloud Router ખરેખર શું જાહેર કરે છે અને VPC શું આયાત કરે છે તે ચકાસો, કોઈપણ કસ્ટમ જાહેરાત નીતિ સહિત. કન્સોલમાં હાજર પણ આ ગંતવ્ય માટે પસંદ ન કરેલ રૂટ કોઈ રૂટ ન હોવા બરાબર છે.

ત્રણ શરતો જે બધી પૂરી થવી જોઈએ

કાર્યક્ષમ માર્ગને નીચેનામાંથી બધું જોઈએ છે, અને દરેક પોતાની રીતે નિષ્ફળ જાય છે:

  • VPC માં ઓન-પ્રિમાઇઝિસ પ્રીફિક્સ તરફ ઇચ્છિત Cloud VPN કનેક્શન દ્વારા એક રૂટ.
  • Cloud Run સબનેટ માટે ઓન-પ્રિમાઇઝિસ બાજુએ એક રિવર્સ રૂટ.
  • સ્ત્રોત, ગંતવ્ય અને પોર્ટને મંજૂરી આપતું ફાયરવોલ અને IPsec સંરક્ષણ ક્ષેત્ર.

ગુમ થયેલ રૂટ સામાન્ય રીતે રિમોટ બાજુએ કોઈ પુરાવા વિના સમય સમાપ્તિ જેવો દેખાય છે. રિવર્સ રૂટની સમસ્યા વિનંતી આવવી અને જવાબ અદૃશ્ય થવા જેવી દેખાય છે. ફાયરવોલ અથવા સિલેક્ટરની સમસ્યા ઉપકરણ પ્રમાણે અસ્વીકાર અથવા શાંત ડ્રોપ જેવી દેખાઈ શકે છે. તમારી પાસે ત્રણમાંથી કઈ છે તે નક્કી કરવાથી આગળનો આદેશ ઘણો સંકુચિત થાય છે.

એક પણ ક્ષણિક Cloud Run સરનામું મંજૂર યાદીમાં ન મૂકો. સબનેટ શ્રેણી અને એપ્લિકેશનને અનુરૂપ અધિકૃતતા રચના વાપરો.

જે રિવિઝને વિનંતી સેવા કરી તેનું પરીક્ષણ કરો

પરીક્ષણ પહેલાં ડિપ્લોય કરેલ નેટવર્ક સેટિંગ્સ અને ટ્રાફિક ફાળવણીની તપાસ કરો, કારણ કે અપડેટ નવું રિવિઝન બનાવી શકે છે જ્યારે વિનંતીઓ હજી જૂના સુધી પહોંચે છે. પછી વપરાશકર્તાની વિનંતી જે ક્રિયા કરે છે તે જ ક્રિયા તે રિવિઝનમાંથી કરો. જો ગંતવ્ય ખાનગી હોસ્ટનામ હોય, તો તે વાતાવરણમાં તેનો ઉકેલ અને તેનું બનાવેલું સરનામું તપાસો, કારણ કે તમારા લેપટોપનો કોર્પોરેટ DNS જવાબ સેવાના નામ સ્થાન વિશે કંઈ સાબિત કરતો નથી. TLS હોસ્ટનામ ચકાસણી અને રિમોટ એપ્લિકેશનની પોતાની પ્રમાણીકરણ રાખો.

Direct VPC ના દસ્તાવેજીકૃત સ્ટાર્ટઅપ કનેક્શન વિલંબની અપેક્ષા રાખો, અને દરેક કોલ્ડ સ્ટાર્ટને તૂટેલી ટનલ તરીકે નિદાન કરવાને બદલે ગ્રાહકને તૈયારી અથવા ફરી પ્રયાસની વ્યૂહરચના આપો.

રોલબેક અને આ શું કરતું નથી

રોલબેક કરવા માટે, સેવાની નેટવર્ક અને એગ્રેસ સેટિંગ્સ તેમની અગાઉની કિંમતો પર પાછી લાવો અને ખાતરી કરો કે અગાઉનું રિવિઝન હજી ટ્રાફિક સેવા કરે છે. ફેરફાર રેકોર્ડમાં gcloud આદેશ રાખો, કારણ કે આંશિક ફેરફારનો ઊલટો છ અઠવાડિયા પછી સ્પષ્ટ હોતો નથી. VPC જોડાણ દૂર કરવાથી સેવા તેના અગાઉના એગ્રેસ માર્ગ પર પાછી ફરે છે, જે ઘટનાના સમયે તમે બરાબર ઇચ્છતા હો તે હોઈ શકે.

આ રચના Cloud Run શરૂ કરે તે જોડાણો અને તેમના જવાબોને આવરી લે છે. તે ઓન-પ્રિમાઇઝિસ નેટવર્કને સેવાની અંદર સરનામા-યોગ્ય સોકેટ આપતું નથી, કારણ કે આંતરિક એક્સપોઝર એ ingress નિર્ણય છે.

સંબંધિત લેખો