API na Google ta VPN: yi wa VIP hanya, ba subnet kawai ba

Shiga cikin uwar garken gida da SSH, ɗaga ramin, kuma VM mai zaman kansa yana amsawa; sannan kiran farko zuwa API na Google ya kasa ba tare da hanya ba. Subnet ɗin VM da adiresoshin VIP na API wurare ne daban-daban, don haka hanya zuwa ɗaya ba ta zaɓar ɗayan. Shararɗi uku dole ne su kasance kafin kiran API mai zaman kansa ya yi aiki. Sunan API dole ne ya warware zuwa VIP, dole ne a sanar da prefix ɗin VIP ta cikin ramin, kuma VPC dole ne ya san yadda za a mayar da amsar. Ping ba ya gaya muku kome daga cikin waɗannan, haka ma zaman SSH mai aiki zuwa wata na'ura a cikin subnet ɗin.

Adiresoshin VIP na API wurare ne daban

Google na wallafa adiresoshin VIP na musamman don shiga API daga cibiyar sadarwar gida, kuma waɗannan su ne adiresoshin da DNS ɗinku dole ya dawo don sunayen API. Dukansu ƙananan prefixes ne kuma babu ɗayansu da ke cikin sararin RFC 1918:

Adiresoshin da suke kama da na jama'a ba sa nufin hanya ta bar ramin don intanet ta yau da kullum. Prefixes ɗin suna nan domin abokin ciniki na gida ya isa gaban Google ta hanyar da aka goyi bayan maimakon wurin fita na son rai. Ka ɗauke su a matsayin wuraren da suka mallaki ramin, ba a matsayin hosts da za a bincika ba. Dokar firewall da aka rubuta don fitar intanet yawanci tana watsi da su, kuma wannan shine wani dalili na kowa da yasa kira ke kasawa kafin ya fara.

DNS ne ke ƙayyade wace ƙarshen hanya za ka isa

Juya resolver ɗin gida zuwa bayanan da Google ya rubuta don ƙarshen da aka zaɓa, domin sunayen da aikace-aikacen ke buƙata su amsa da wannan VIP. Yin taswirar googleapis.com kawai ba lissafin kaya ba ne: rumbunan ajiya na fakiti, rumbunan ajiya na kwantena da masu haɗa ƙaura suna da nasu rubutattun sunaye. VIP mai iyakance shi ma ba ya ɗaukar kowane sabis, don haka sunan da ya warware zai iya zama ba a goyi bayan sa ba. Rubuta yankunan da aikace-aikacen ke tuntuɓa da gaske kafin ka taɓa resolver ɗin.

Yin hasashen adireshin VM a cikin VPC a matsayin maye gurbin sunan sabis ba gyara ba ne, kuma yawanci yana ɓoye gibin DNS har wani abokin ciniki ya kasa.

Sanar da prefix ɗin VIP, riƙe sauran

Da haɗin da ya dogara da BGP, Cloud Router dole ne ya sanar da prefix ɗin VIP da aka zaɓa domin router ɗin gida ya koyi wannan kewayon ta cikin zaman da aka yi niyya. Sanar da subnets ɗin VPC kawai ba ya ƙara wannan kewayon, kuma router ɗin gida yana ci gaba da amfani da hanyarsa ta asali ga waɗannan adiresoshin. Prefix ɗin da ke cikin teburin tuƙi shine kawai hujjar cewa sanarwar ta tsallake zaman.

Riƙe sanarwar da ke akwai yayin da kake ƙara sabuwar, domin zaɓuɓɓukan matakin router da matakin peer suna da isa daban, kuma musanya saitin na iya janye cibiyoyin sadarwar da suka riga suka yi aiki. Sannan duba ingantacciyar sanarwa a kowane zaman maimakon a dukan router. Prefix ɗin da ya ɓace da prefix ɗin da aka janye suna kama da juna daga bangaren gida, don haka ganin zaman shine ke raba tsallakewa da koma baya.

Bangaren VPC yana buƙatar nasa hanya da hanyar dawowa

A cikin VPC, hanyar VIP dole ta yi amfani da ƙofar intanet ta asali a matsayin mataki na gaba, kuma duk da sunan wannan zirga-zirgar tana kasancewa cikin cibiyar sadarwar Google. VPC kuma yana buƙatar hanyar dawowa zuwa tushen gida ta hanyar VPN, wanda wani abu ne daban daga prefix ɗin da aka sanar. Yi la'akari da buƙatun tuƙin yanki da aka rubuta lokacin da rami da abokin ciniki ba su cikin yanki ɗaya.

Duba hanyar dawowa da kanta, domin alkiblar buƙata mai aiki na iya ɓoye alkiblar amsa da ta karye. Alkibla biyu, hanyoyi biyu, kuma kowace tana kasa da nata alamar.

Gwada buƙatar, sannan karanta ƙin amsawa

ICMP echo ba ya samun amsa daga waɗannan VIP, don haka ping da ya kasa ba ya tabbatar da kome kuma wanda ya yi nasara yana tabbatar da kaɗan. Daga ainihin abokin ciniki, duba amsar sunan da hanyar da aka zaɓa, sannan yi buƙatar HTTPS da aka ba da izini zuwa sabis ɗin da kake damu da shi. Idan buƙatar ta isa sabis ɗin kuma aka ƙi ta, duba takardun shaidar shiga, IAM da duk wata manufar kewayen sabis da ta dace.

Tuƙi mai zaman kansa ba ya ba da izinin API kuma ba ya canza abin da aka ba wa asalin izinin yi. Nasarar jigila da amsa mai izini sakamako ne daban-daban, kuma kana buƙatar duka biyu. Riƙe hanyar IPv6 a bayyane kuma, domin saita prefixes ɗin IPv4 ba ya cewa kome game da abokin ciniki da ya fi son IPv6.

Jagorar Google kan Private Google Access daga cibiyar sadarwar gida ta ƙunshi bayanan DNS da buƙatun tuƙi tare, don haka kwatanta saitunan resolver da sanarwa da ita maimakon da wani rubutu na dandalin tattaunawa. Sannan sake gudanar da buƙatar ɗaya kuma ka rubuta amsa da hanya a cikin tikitin ɗaya.