VPN inn í VPC virkar, en stýrða þjónustan nær tímamörkum
Göngin enda á þínum brún, ekki við framhurð veitandans. Flokkaðu viðfangsefnið sem hýst á VM, tengt VPC eða aðeins opinbert áður en þú breytir leið.
Að ná í stýrðan gagnagrunn gegnum VPN mistekst venjulega af ástæðu sem enginn skrifaði í handbókina: göngin enda á brún netsins þíns, en þjónustan var aldrei þínum megin við hana. Leiðatöflurnar líta rétt út, göngin tilkynna sig virk og samt nær tengingin tímamörkum. Farðu í gegnum fjórar athuganir hér að neðan í röð og stöðvaðu við þá fyrstu þar sem skilyrði fyrir velgengni er ekki uppfyllt, því hver athugun á eftir gerir ráð fyrir að þær fyrri hafi staðist.
Athugun eitt: hvar býr endapunkturinn í raun?
VPN-gátt tengir tvö net sem þú stjórnar vistfangi á. Stýrð þjónusta er rekin bak við eigin framhurð veitandans, og sú hurð tekur eina af þremur myndum eftir vöru. Ef þú veist ekki hvaða mynd þú ert að fást við mun engin leiðavinna hjálpa, því bilunin er kannski alls ekki leiðabilun.
| Shape | What it means | Pass condition |
|---|---|---|
| Software on your VM | Ordinary subnet addressing | Route and security group permit the client |
| Attached to your VPC | Private, but only inside that VPC | Endpoint associated, source allowed, route present |
| Provider-hosted, public endpoint | Optional private link, not private by default | A private endpoint exists and DNS points at it |
Flest eyðilögð síðdegi koma af því að sleppa þessari flokkun og fara beint í leiðatöfluna. Þjónusta sem veitandinn hýsir með opinberum endapunkti er ekki bak við göngin þín hvað sem skýringarmyndin segir, og sú sem tengd er VPC mun aldrei birtast í opinberu DNS-svari.
Athugun tvö: þjónusta tengd VPC eins og ElastiCache
Skyndiminni af þeirri gerð eru vistfangsgreind innan þíns eigin VPC og hafa alls engan hlustanda sem snýr að internetinu. VPN-biðlari sem endar í sama VPC getur náð þeim, en aðeins þegar þrjú skilyrði hittast. Endapunktur skyndiminnisins verður að vera tengdur undirnetum sem göngin þín sjá, öryggishópur þess verður að heimila vistfangið sem biðlararnir þínir koma frá, og biðlarinn þarf leið sem nær yfir undirnet skyndiminnisins.
Algenga mistökið er að gera ráð fyrir að tenging einhvers staðar nálægt gildi. Að tengja VPN við annað VPC, eða treysta einungis á peering, útvíkkar hvorki öryggishóp skyndiminnisins né leiðatöflu undirnetsins þess til biðlaranna þinna. Þegar núverandi göng enda annars staðar er stökkhýsitölva eða VPN-þjónn innan þess VPC venjulega varaleiðin. Slík varaleið er krókaleið en ekki hönnun, og á að merkja hana þannig í handbókinni.
Athugun þrjú: PaaS-endapunktur með opinberu nafni
Azure Database for PostgreSQL birtir opinbert netþjónsnafn. Það gefur þér ekki einkavistfang sem þú getur fest í hosts-skrá og beitt í gegnum gátt. Þjónustuendapunktar sýndarnets takmarka hvaða undirnet mega ná í auðlind; þeir veita ekki heimild fyrir staðbundin biðlara sem koma í gegnum VPN.
Að fá einkanlega aðgang þýðir að taka upp einkanlegan endapunkt eða einkatengingahönnun og bæta síðan einkanlegu DNS-svæði við svo opinbera nafnið svari með þeim endapunkti í stað internetsins. VPN ásamt reglu um þjónustuendapunkt er önnur bygging sem lítur eins út aðeins á skýringarmynd. App Service fylgir sömu rökfræði úr gagnstæðri átt: VNet-samþætting leyfir forritinu að gera útleiðarköll inn í VNet, og hún skapar ekki innleið einkaleið frá göngunum þínum. Innleiður einkanlegur aðgangur krefst því einkanlegs endapunkts, App Service-umhverfis eða gáttar framan við forritið, og hvaða leiða þú getur notað fer eftir áætluninni.
Athugun fjögur: vörur með eigin framhurð
Ekki er hægt að tengja Firebase Hosting við Cloud VPN, því hýsingarlagið er alþjóðleg framhlið en ekki eitthvað innan VPC verkefnis. Skráði valkosturinn er að byggja stýrða inngangsstaðinn sjálfur, með proxy-tilviki eða hleðsludreifara sem studdur er af fötunni. Hvort sem er hættir vefurinn að vera hrein hýsingarvara og verður innviðir sem þú rekur núna. Þau viðskipti er vert að nefna áður en einhver lofar því að göngin nái yfir þau.
Private API Gateway stendur nær VPC-þjónustuhliðinni: VPC-endapunktur af interface-gerð birtir hýsinöfn sem svörin eru einkavistföng, og umferð frá þínum stað kemur í gegnum göngin eða sérhannaða samtengingu. Endapunkturinn verður að vera tengdur API-inu, og skírteinið ásamt hýsinöfninu verða að passa við sérsniðna lénið sem kallendurnir nota.
Google Cloud VPN-göng bindast IP-vistföngum jafningja, ekki nöfnum. DNS-framsending er stillt sér, og þess vegna geta göng verið fullkomlega heilbrigð á meðan uppflettingar í fjarlæga einkanlega svæðinu mistakast enn.
Finndu síðan mörkin
Keyrðu sömu tengingu frá VM innan VPC. Þegar hún tekst þar en mistekst frá VPN-biðlaranum er bilið milli leiðar biðlarans og endapunkts þjónustunnar: leið, öryggishópur, endapunktsstefna eða nafn. Þegar báðar tilraunir mistakast getur ekkert í því neti náð í þjónustuna, og VPN var aldrei hindrunin.
getent hosts db.internal.example
nc -vz db.internal.example 5432Gerðu nafnuppflettinguna og portprófunina aðskilið, því þær mistakast af ólíkum ástæðum og parið segir þér hvor helmingur leiðarinnar er brotinn. Nafn sem leysist í opinbert vistfang segir þér að einkanlega DNS-svæðið sé ekki í gangi.