VPN પર Google API: ફક્ત સબનેટ નહીં, VIP પર રૂટ કરો
VPC સબનેટ તરફનો રૂટ API VIP પસંદ કરતો નથી. યોગ્ય નામો ઉકેલો, VIP પ્રીફિક્સની જાહેરાત કરો, VPCમાં પરત માર્ગ રાખો અને પછી HTTPS ચકાસો.
SSH દ્વારા સ્થાનિક સર્વરમાં પ્રવેશ કરો, ટનલ ઉપર લાવો અને ખાનગી VM જવાબ આપે છે; પછી Google API માટેનો પહેલો કૉલ માર્ગ વગર નિષ્ફળ જાય છે. VMનું સબનેટ અને API VIP અલગ લક્ષ્યસ્થાનો છે, તેથી એક માટેનો રૂટ બીજાને પસંદ કરતો નથી. ખાનગી API કૉલ કામ કરે તે પહેલાં ત્રણ શરતો પૂરી થવી જોઈએ. APIનું નામ VIPમાં ઉકેલાવું જોઈએ, VIP પ્રીફિક્સ ટનલ દ્વારા જાહેર થવું જોઈએ અને VPCને ખબર હોવી જોઈએ કે જવાબ કેવી રીતે પાછો મોકલવો. પિંગ તમને એમાંથી કંઈ કહેતું નથી, અને સબનેટની મશીન સુધીનું કાર્યરત SSH સેશન પણ નહીં.
API VIP અલગ લક્ષ્યસ્થાનો છે
Google સ્થાનિક નેટવર્કથી API ઍક્સેસ માટે સમર્પિત VIP પ્રકાશિત કરે છે, અને તે જ સરનામાં છે જે API નામો માટે તમારા DNSએ પરત આપવાના હોય છે. બંને નાના પ્રીફિક્સ છે અને એક પણ RFC 1918 સ્પેસ નથી:
| Record | Resolves to | What it does not give you |
|---|---|---|
| private.googleapis.com | 199.36.153.8/30, the general front door for Google APIs | not a bypass around a service perimeter |
| restricted.googleapis.com | 199.36.153.4/30, reachable only for services a perimeter allows | not the whole API surface, so some names stay out of reach |
જાહેર દેખાતાં સરનામાંનો અર્થ એ નથી કે રૂટે ટનલ છોડવી જોઈએ સામાન્ય ઇન્ટરનેટ માટે. પ્રીફિક્સ એટલા માટે છે કે સ્થાનિક ક્લાયન્ટ મનસ્વી એગ્રેસ પોઇન્ટને બદલે સમર્થિત માર્ગે Googleના ફ્રન્ટ એન્ડ સુધી પહોંચી શકે. તેમને ટનલના લક્ષ્યસ્થાનો તરીકે ગણો, તપાસવાના હોસ્ટ તરીકે નહીં. ઇન્ટરનેટ એગ્રેસ માટે લખાયેલો ફાયરવોલ નિયમ સામાન્ય રીતે તેમને કાઢી નાખે છે, અને કૉલ શરૂ થતાં પહેલાં નિષ્ફળ જવાનું આ એક સામાન્ય કારણ છે.
તમે કયા એન્ડપોઇન્ટ સુધી પહોંચો છો તે DNS નક્કી કરે છે
પસંદ કરેલા એન્ડપોઇન્ટ માટે Google જે રેકોર્ડ દસ્તાવેજ કરે છે તેના પર સ્થાનિક રિઝોલ્વર સેટ કરો, જેથી ઍપ્લિકેશનને જરૂરી નામો તે VIP સાથે જવાબ આપે. ફક્ત googleapis.com કરવું એ કોઈ ઇન્વેન્ટરી નથી: પેકેજ રજિસ્ટ્રી, કન્ટેનર રજિસ્ટ્રી અને માઇગ્રેશન કનેક્ટર્સનાં પોતાનાં દસ્તાવેજી નામો છે. પ્રતિબંધિત VIP પણ દરેક સેવા વહન કરતું નથી, તેથી ઉકેલાતું નામ હજી પણ અસમર્થિત હોઈ શકે. રિઝોલ્વરને સ્પર્શ કરતાં પહેલાં ઍપ્લિકેશન ખરેખર જે ડોમેનનો સંપર્ક કરે છે તે લખી લો.
સેવા નામની જગ્યાએ VPC VM સરનામું અનુમાન કરવું એ ઉકેલ નથી, અને તે સામાન્ય રીતે DNSની ખાલી જગ્યાને બીજા ક્લાયન્ટ નિષ્ફળ થાય ત્યાં સુધી છુપાવે છે.
VIP પ્રીફિક્સની જાહેરાત કરો, બાકીનું રાખો
BGP આધારિત કનેક્શનમાં, Cloud Routerએ પસંદ કરેલા VIP પ્રીફિક્સની જાહેરાત કરવી પડે જેથી સ્થાનિક રાઉટર ધારેલા સેશન દ્વારા તે શ્રેણી શીખી શકે. ફક્ત VPC સબનેટની જાહેરાત તે શ્રેણી ઉમેરતી નથી, અને સ્થાનિક રાઉટર તે સરનામાંઓ માટે તેના ડિફૉલ્ટ માર્ગનો ઉપયોગ ચાલુ રાખે છે. રૂટિંગ કોષ્ટકમાંનું પ્રીફિક્સ એ જ એકમાત્ર પુરાવો છે કે જાહેરાત સેશન પાર કરી ગઈ.
નવું ઉમેરતી વખતે હાલની જાહેરાતો જાળવી રાખો, કારણ કે રાઉટર-સ્તર અને પીઅર-સ્તરના વિકલ્પોનો વ્યાપ અલગ હોય છે, અને સેટ બદલવાથી પહેલેથી કામ કરતાં નેટવર્ક પાછાં ખેંચાઈ શકે છે. પછી આખા રાઉટર પર નહીં, પરંતુ દરેક સેશન પર અસરકારક જાહેરાત તપાસો. ખૂટતું પ્રીફિક્સ અને પાછું ખેંચાયેલું પ્રીફિક્સ સ્થાનિક બાજુથી એકસરખાં દેખાય છે, તેથી સેશન દૃશ્ય જ બાદબાકીને રીગ્રેશનથી અલગ પાડે છે.
VPC બાજુને પોતાનો રૂટ અને પરત માર્ગ જોઈએ
VPCની અંદર, VIPનો માર્ગ આગળના હોપ તરીકે ડિફૉલ્ટ ઇન્ટરનેટ ગેટવે વાપરવો પડે, અને નામ હોવા છતાં તે ટ્રાફિક Googleના નેટવર્કમાં જ રહે છે. VPCને VPN દ્વારા સ્થાનિક સ્રોત તરફ પરત માર્ગ પણ જોઈએ, જે જાહેર કરેલા પ્રીફિક્સથી અલગ ઑબ્જેક્ટ છે. ટનલ અને ક્લાયન્ટ એક જ પ્રદેશમાં ન હોય ત્યારે દસ્તાવેજી પ્રાદેશિક રૂટિંગ આવશ્યકતાઓ ધ્યાનમાં લો.
પરત માર્ગ સ્વતંત્ર રીતે તપાસો, કારણ કે કામ કરતી વિનંતીની દિશા તૂટેલી જવાબની દિશા છુપાવી શકે છે. બે દિશા, બે રૂટ, અને દરેક પોતાના લક્ષણ સાથે નિષ્ફળ જાય છે.
વિનંતી ચકાસો, પછી અસ્વીકાર વાંચો
આ VIPમાંથી ICMP ઇકોને કોઈ જવાબ મળતો નથી, તેથી નિષ્ફળ પિંગ કંઈ સાબિત કરતું નથી અને સફળ પિંગ ઘણું ઓછું. વાસ્તવિક ક્લાયન્ટથી નામનો જવાબ અને પસંદ કરેલો રૂટ તપાસો, પછી તમને જે સેવા મહત્ત્વની છે તેના પર અધિકૃત HTTPS વિનંતી કરો. વિનંતી સેવા સુધી પહોંચીને નકારાય તો ઓળખપત્રો, IAM અને લાગુ પડતી સેવા પરિમિતિ નીતિ જુઓ.
ખાનગી રૂટિંગ API અધિકૃતતા આપતું નથી અને ઓળખને શું કરવાની મંજૂરી છે તે બદલતું નથી. ટ્રાન્સપોર્ટની સફળતા અને અધિકૃત જવાબ અલગ પરિણામો છે, અને તમને બંને જોઈએ. IPv6 માર્ગ પણ સ્પષ્ટ રાખો, કારણ કે IPv4 પ્રીફિક્સ ગોઠવવાથી IPv6 પસંદ કરતા ક્લાયન્ટ વિશે કંઈ કહેવાતું નથી.
સ્થાનિક નેટવર્કથી Private Google Access માટે Googleની માર્ગદર્શિકા DNS રેકોર્ડ અને રૂટિંગ આવશ્યકતાઓને સાથે આવરી લે છે, તેથી તમારા રિઝોલ્વર અને જાહેરાત સેટિંગ્સની સરખામણી ફોરમ પોસ્ટ સાથે નહીં, તેની સાથે કરો. પછી એ જ વિનંતી ફરી ચલાવો અને જવાબ તથા રૂટ એ જ ટિકિટમાં નોંધો.