Cloud Run að staðbundnu VPN: uppsetning beinnar VPC-útgöngu

Göngin eru uppi, VM nær staðbundna þjóninum og Cloud Run þjónustan rennur út á tíma á sama hýsli. Þetta er venjulegi upphafspunkturinn fyrir þetta verkefni og göngin eru sjaldan það sem er rangt. Cloud Run útgáfa liggur ekki í VPC-inu þínu sjálfgefið, og þegar hún gerir það notar hún eigin upprunavistföng í stað VM-undirnetsins sem þú hefur þegar beint. Runbookið hér að neðan tengir þjónustuna, beinir raunverulegu upprunasviði hennar og sannar síðan slóðina frá þeirri útgáfu sem þjónaði beiðninni. Keyrðu það í þessari röð, því að sleppa fyrsta skrefinu er ástæðan fyrir því að svo mörg þessara mála enda í VPN-breytingu sem lagar ekkert.

Tengdu útgáfuna áður en þú kembir göngin

Cloud Run styður beina VPC-útgöngu, sem setur umferð þjónustunnar á undirnet í VPC-inu þínu án Serverless VPC Access tengis. Fyrir þjónustu sem er þegar til lítur uppfærslan svona út:

gcloud run services update SERVICE \
  --region=REGION --network=NETWORK --subnet=SUBNET \
  --vpc-egress=private-ranges-only

Skiptu út staðgöngum, farðu yfir hvað uppsetningin gerir við lifandi umferð og veldu undirnet á svæði þjónustunnar með nægri vistfangagetu og réttum netheimildum.

Veldu útgangsstillingu sem passar við áfangann

private-ranges-only sendir áfangana sem það flokkar sem einkaaðila í gegnum VPC-ið. Það þýðir ekki „hvað sem er aðgengilegt í gegnum VPN-ið“, og það bil birtist þegar staðbundna þjónustan liggur á sviði sem stillingin flokkar ekki þannig. Ef áfanginn er ekki innifalinn er all-traffic hin skjalfesta stillingin, og hún sendir allt í gegnum VPC-ið, þar á meðal opinberar ósjálfstæður þjónustunnar. Veldu af ásetningi og skrifaðu afleiðinguna í breytingaskrána.

Þjónusta sem notar þegar tengi krefst flutnings en ekki rofa, svo skipuleggðu það í stað þess að stilla hvort tveggja.

Beindu Cloud Run upprunanum, ekki VM upprunanum

Bein VPC-útganga úthlutar skammtímaföstum úr völdu undirneti og staðbundna hliðin verður að skila umferð á það svið. Endurkoma eða eldveggsheimild sem skrifuð er fyrir annað VM-undirnet mun líta rétt út á skýringarmyndinni og mistakast í reynd. Taktu CIDR undirnetsins úr VPC-inu en ekki úr minni, og staðfestu síðan að dulritunar-ACL eða leiðartöflu fjartækisins inniheldur það.

Með kraftstýrðri leiðarvísun skaltu staðfesta hvað Cloud Router auglýsir í raun og hvað VPC-ið flytur inn, þar á meðal hverja sérsniðna auglýsingarstefnu. Leið sem er til í stjórnborðinu en er ekki valin fyrir þennan áfanga er það sama og engin leið.

Þrjú skilyrði sem verða öll að gilda

Virk leið krefst alls eftirfarandi og hvert þeirra bregst á sinn hátt:

• Leið í VPC-inu að staðbundna forskeytinu í gegnum fyrirhugaða Cloud VPN tengingu.
• Afturleið á staðbundinni hlið fyrir Cloud Run undirnetið.
• Eldveggs- og IPsec verndarsvið sem leyfir upprunann, áfangann og gáttina.

Leið sem vantar lítur venjulega út eins og tímamörk án sönnunargagna á fjarlægu hliðinni. Vandamál með afturleið lítur út eins og beiðni sem kemur og svar sem hverfur. Vandamál með eldvegg eða veljara getur litið út eins og afneitun eða hljóðláta sleppingu, eftir tækinu. Að komast að því hvert þessara þriggja þú hefur þrengir næstu skipun verulega.

Settu ekki eitt tímabundið Cloud Run vistfang á heimildalistann. Notaðu svið undirnetsins og heimildarhönnun sem hentar forritinu.

Prófaðu útgáfuna sem þjónaði beiðninni

Skoðaðu uppsettu netstillingarnar og umferðarúthlutunina áður en þú prófar, því uppfærsla getur búið til nýja útgáfu á meðan beiðnir ná enn eldri. Framkvæmdu síðan sömu aðgerð og beiðni notandans framkvæmir, frá þeirri útgáfu. Ef áfanginn er einkahýsilnafn skaltu athuga upplausn þess í því umhverfi og vistfangið sem það gaf, því fyrirtækja-DNS svar tölvunnar þinnar sannar ekkert um nafnrými þjónustunnar. Haltu TLS hýsilnafnasannprófun og eigin auðkenningu fjartengda forritsins.

Búðu þig við skjalfestum tengitöfum við ræsingu Direct VPC og gefðu biðlaranum áætlun um tilbúið stöðu eða endurtilraun í stað þess að greina hverja kaldræsingu sem brotin göng.

Afturköllun og hvað þetta gerir ekki

Til að afturkalla skaltu setja net- og útgangsstillingar þjónustunnar aftur í fyrri gildi og staðfesta að fyrri útgáfan þjóni enn umferð. Haltu gcloud skipuninni í breytingaskránni, því andhverfa hluta breytingar er ekki augljós sex vikum síðar. Að fjarlægja VPC-tenginguna færir þjónustuna aftur á fyrri útgangsslóð, sem gæti verið einmitt það sem þú vilt meðan á atviki stendur.

Þessi hönnun nær yfir tengingar sem Cloud Run hefur frumkvæði að og svörin við þeim. Hún gefur staðbundna netinu ekki vistfangsanlegt samband inni í þjónustunni, því að útsetning inn á við er ingress-ákvörðun.