App Engine VPN дерекқорына жете алады: не сәйкес келуі керек

App Engine Standard Cloud VPN арқылы жеке дерекқорға жете алмайды деген тұжырым платформаның бұрынғы буынынан қалған мұра. Standard даналары кейбір басқа орындау орталары сияқты VPC-ге тән мекенжай алмайды, бірақ желіңізде орналасқан Serverless VPC Access коннекторы арқылы egress жібере алады. Бұл жол бар болса, Cloud VPN мен қашықтағы firewall коннектор трафигін кез келген басқа көз сияқты көреді. Сәтсіздікке ұшырайтын нәрсе сирек қабілеттің өзі. Бұл ешқашан теңестірілмеген үш параметрдің бірі.

Ескі жауап қайдан шықты

Коннекторлар пайда болғанға дейін практикалық жауап шынымен Standard тек ашық соңғы нүктелермен сөйлесе алады дегенді білдірді, ал командалар оны айналып өту үшін прокси VM-ге немесе басқа орындау ортасына көшті. Платформа өзгерді, фольклор өзгерген жоқ. Интернеттегі көптеген кеңестер әлі күнге дейін egress опциясы мүлде болмаған дәуірді бейнелейді.

Түзету естілгеннен гөрі тар. Standard жеке желіге жете алады, бірақ тек қолдау көрсетілетін egress интеграциясы арқылы және сол интеграция шынымен ұстайтын межелерге ғана.

Алдымен egress жолын таңдаңыз

Қызметке тіркелген коннектор оның трафигін VPC-ге кіргізеді. Коннектор құжаттамасы аймақтық алғышарт пен egress параметрлерін тізімдейді; коннектор қызметтің аймағында болуы және орналастыратын сәйкестендіру үшін пайдалануға жарамды болуы керек.

vpc_access_connector:
  name: projects/PROJECT_ID/locations/REGION/connectors/CONNECTOR_NAME
  egress_setting: private-ranges-only

private-ranges-only жеке межелерді VPC-ге жібереді және қалғанын қалыпты интернет жолында қалдырады, бұл әдетте дерекқор байланысына қажет. all-traffic шығыс трафигін VPC арқылы кеңінен өткізеді, сондықтан қарапайым интернет шақырулары да VPC-нің NAT және firewall күйін мұраға алады.

Файлды жергілікті өңдеу орналастырғанға дейін ештеңені өзгертпейді. Жұмыс істеп тұрған нұсқа жасалған конфигурациясын сақтайды.

Бастау мекенжайы — коннектор, ноутбугіңіз емес

Жөндеу уақытының көп бөлігі осында кетеді. Қашықтағы VPN шлюзі мен дерекқор firewall-ы VPC ішінде коннекторға бөлінген диапазонды рұқсат етуі керек, кеңсеңіздің мекенжайын немесе қызметтің ашық egress мекенжайын емес. Бір ереже жазбас бұрын сол диапазонды консольден табыңыз.

Тағы екі орын келісуі керек. VPC маршрут кестесіне қашықтағы дерекқор желісіне маршрут қажет, ал қашықтағы жаққа коннектор диапазоны үшін қайтару маршруты қажет. Егер туннель трафик селекторларын пайдаланса, коннектор диапазонының келісілген ауқымда екенін растаңыз. Тек қашықтан жергіліктіге бағытта ғана бар маршрут жиі кездесетін қате және ол ping-дерді өткізеді, бірақ TCP қол алысуды ешқашан аяқтамайды.

Тек VM қосымша желісін рұқсат ететін туннель коннектор пакеттерін пайдалы қате хабарламасынсыз тастайды, сондықтан дерекқордың уақыт бітуі тіркелгі деректерінің мәселесіне ұқсайды.

DNS басқа жолмен жүреді

Жеке дерекқор хост атауы коннектор жететін желі ішінде шешілуі керек, Cloud DNS теңестіруі немесе VPC пайдалана алатын бағыттау аймағы арқылы. Оны жұмыс станцияңызда шешу орналастырылған қызмет туралы ештеңені дәлелдемейді, өйткені ноутбугіңіз сол шешушіні пайдаланбайды.

Егер атау VPC ішінен ашық мекенжайға шешілсе, қате firewall-ды жөндеуге дайындалып жатырсыз.

URL Fetch коннекторды пайдаланбайды

egress параметрі орындау ортасының қалыпты шығыс сокеттерін қамтиды, ал мұрагерлік URL Fetch қызметі бұл жолдың бөлігі емес. urlfetch арқылы шығарылған сұраныс конфигурация не десе де коннекторды елемейді. Сәтсіз шақыру әлі де URL Fetch пайдаланатын ескі кітапханада болса, түзету — сол шақыруды стандартты HTTP клиентіне көшіру.

Дерекқор драйвері үшін бұл сирек мәселе, бірақ сол қызметтен бір соңғы нүктенің жұмыс істеп, екіншісінің істемеуінің классикалық себебі осы.

Бір тар сұраныспен тексеріңіз

Орналастырыңыз, содан кейін қашықтағы жақты бақылай отырып, орналастырылған нұсқадан рұқсат етілген бір дерекқор операциясын орындаңыз. Дерекқор немесе VPN шлюзі тіркейтін бастау мекенжайы коннектордің мекенжайы болуы керек. Егер олай болмаса, сұраныс VPC-ге ешқашан кірмеген және ешбір туннель конфигурациясы оны түзетпейді. Оны консольден іздеген диапазонмен салыстырыңыз; сәйкессіздік әдетте нұсқаға екінші коннектор қызмет көрсетіп жатқанын білдіреді.

VPC ішіндегі VM-нен сәтті сұраныс маршруттың бар екенін дәлелдейді. Ол қызметтің оны таңдағанын дәлелдемейді.