App Engine nær VPN-gagnagrunninum þínum: hvað verður að stemma

Fullyrðingin um að App Engine Standard geti ekki náð einkagagnagrunni í gegnum Cloud VPN er leif úr fyrri kynslóð vettvangsins. Standard-tilvik fá ekki VPC-eigið vistfang eins og sum önnur keyrsluumhverfi, en þau geta sent útstreymi í gegnum Serverless VPC Access-tengil sem býr í netinu þínu. Þegar sú leið er til staðar sjá Cloud VPN og fjarlægi eldveggurinn umferð tengilsins eins og hverja aðra uppsprettu. Það sem bregst er sjaldan hæfileikinn sjálfur. Þetta er ein af þremur stillingum sem voru aldrei samstilltar.

Hvaðan gamla svarið kom

Áður en tenglar voru til voru var hagnýta svarið í raun að Standard gæti aðeins talað við opinber endapunkt, og teymi fluttu yfir í proxy-VM eða annað keyrsluumhverfi til að komast hjá því. Vettvangurinn breyttist, þjóðsagan ekki. Margar ráðleggingar á netinu endurspegla enn tímabilið þegar enginn útstreymisvalkostur var til.

Leiðréttingin er þrengri en hún hljómar. Standard getur náð einkanetinu, en aðeins í gegnum studda útstreymissamþættingu, og aðeins fyrir þá áfangastaði sem sú samþætting grípur í raun.

Veldu útstreymisleiðina fyrst

Tengill sem er festur við þjónustuna er það sem setur umferð hennar inn í VPC. Skjölun tengilsins telur upp svæðisskilyrðið og útstreymisstillingarnar; tengillinn verður að vera til á svæði þjónustunnar og vera nothæfur af auðkenninu sem setur upp.

vpc_access_connector:
  name: projects/PROJECT_ID/locations/REGION/connectors/CONNECTOR_NAME
  egress_setting: private-ranges-only

private-ranges-only sendir einkaaðfangastaði inn í VPC og lætur allt annað vera á venjulegri netleið, sem gagnagrunnstenging þarf yfirleitt. all-traffic ýtir útstreymi víða í gegnum VPC, svo venjuleg netköll erfa líka NAT- og eldveggsstöðu VPC.

Að breyta skránni á staðnum breytir engu fyrr en þú setur upp. Keyrandi útgáfa heldur stillingunni sem hún var búin til með.

Upptökuvistfangið er tengillinn, ekki fartölvan þín

Hér fer mestur hluti villuleitarinnar. Fjarlægi VPN-gáttin og eldveggur gagnagrunsins þurfa að leyfa úthlutað svið tengilsins innan VPC, ekki vistfang skrifstofunnar þinnar og ekki opinbert útstreymisvistfang þjónustunnar. Flettu því sviði upp í stjórnborðinu áður en þú skrifar eina einustu reglu.

Tveir staðir til viðbótar verða að stemma. VPC-leiðatöflunni vantar leið að fjarlæga gagnagrunsnetinu, og fjarlæga hliðin þarf afturleið fyrir svið tengilsins. Ef göngin nota umferðarvala skaltu staðfesta að svið tengilsins sé innan samningsbundins umfangs. Leið sem er aðeins til í átt frá fjarlægri til staðbundinnar er algeng mistök, og hún hleypir pingum í gegn án þess að klára TCP-handaband nokkurn tíma.

Göng sem leyfa aðeins VM-undirnet munu fleygja pakkum tengilsins án gagnlegrar villuskilaboða, og þess vegna lítur tímamörk gagnagrunsins út eins og vandamál með skírteini.

DNS fer aðra leið

Einkagagnagruns hýsilnafn verður að leysast innan netsins sem tengillinn nær til, í gegnum Cloud DNS-jafningu eða áframsendingarsvæði sem VPC getur notað. Að leysa það á vinnustöðinni þinni sannar ekkert um uppsettu þjónustuna, því fartölvan þín notar ekki þann leysir.

Ef nafnið leysist í opinbert vistfang innan frá VPC ertu að fara að villuleita rangan eldvegg.

URL Fetch notar ekki tengilinn

Útstreymisstillingin nær yfir venjulegar útstreymisstungur keyrsluumhverfisins, og arfda URL Fetch-þjónustan er ekki hluti af þeirri leið. Beiðni sem send er í gegnum urlfetch hunsar tengilinn hvað sem stillingin segir. Þegar bilaða kallið er í eldri safni sem notar enn URL Fetch er lausnin að færa það kall yfir á staðlaða HTTP-biðlara.

Fyrir gagnagrunsdrifara er þetta sjaldan vandamálið, en það er klassíska ástæðan fyrir því að einn endapunktur virkar og annar ekki frá sömu þjónustu.

Staðfestu með einni þröngri fyrirspurn

Settu upp og keyrðu síðan eina leyfða gagnagrunsaðgerð frá uppsettu útgáfunni á meðan þú fylgist með fjarlægu hliðinni. Upptökuvistfangið sem gagnagrunnurinn eða VPN-gáttin skráir ætti að vera tengilsins. Ef ekki kom beiðnin aldrei inn í VPC og engin göngustilling bætir það. Berðu það saman við sviðið sem þú flettir upp í stjórnborðinu; misræmi þýðir venjulega að annar tengill þjóni útgáfunni.

Árangursrík fyrirspurn frá VM innan VPC sannar að leiðin sé til. Hún sannar ekki að þjónustan hafi valið hana.