Cloud Run-нан жергілікті VPN-ге: тікелей VPC шығысын баптау

Cloud VPN туннелі Cloud Run-ды желіге қоспайды. Қызметті дұрыс қосалқы желіге қосыңыз, оның көз ауқымын маршруттаңыз, содан кейін сол ревизияны тексеріңіз.

Туннель жұмыс істеп тұр, VM жергілікті серверге жетеді, ал Cloud Run қызметі сол хостта уақыт шегінен шығады. Бұл осы тапсырманың әдеттегі бастапқы нүктесі және туннель сирек кінәлі болады. Cloud Run ревизиясы әдепкі бойынша сіздің VPC-де орналаспайды, ал орналасқан кезде ол сіз маршруттаған VM қосалқы желісінің орнына өз көз мекенжайларын пайдаланады. Төмендегі runbook қызметті қосады, оның нақты көз ауқымын маршруттайды, содан кейін сұранысқа қызмет көрсеткен ревизиядан жолды дәлелдейді. Оны дәл осы реттілікпен орындаңыз, өйткені бірінші қадамды өткізіп жіберу осындай жағдайлардың көбінің ештеңені түзетпейтін VPN өзгерісімен аяқталуының себебі.

Туннельді жөндеуден бұрын ревизияны қосыңыз

Cloud Run қолдайды: тікелей VPC шығысы, ол қызмет трафигін Serverless VPC Access коннекторынсыз сіздің VPC-дегі қосалқы желіге орналастырады. Бар қызмет үшін жаңарту былай көрінеді:

gcloud run services update SERVICE \
  --region=REGION --network=NETWORK --subnet=SUBNET \
  --vpc-egress=private-ranges-only

Орын толтырғыштарды ауыстырыңыз, орналастырудың тірі трафикке не істейтінін қарап шығыңыз және қызмет аймағында жеткілікті мекенжай сыйымдылығы мен дұрыс желілік рұқсаттары бар қосалқы желіні таңдаңыз.

Межеге сәйкес келетін шығыс режимін таңдаңыз

private-ranges-only жеке деп жіктейтін межелерді VPC арқылы жібереді. Бұл «VPN арқылы қолжетімді барлық нәрсе» дегенді білдірмейді, және бұл алшақтық жергілікті қызмет параметр осылай жіктемейтін ауқымда тұрғанда пайда болады. Егер меже қамтылмаса, онда all-traffic құжатталған екінші режим және ол қызметтің жария тәуелділіктерін қоса, бәрін VPC арқылы жібереді. Әдейі таңдап, салдарын өзгеріс жазбасына жазыңыз.

Коннекторды қолданып жатқан қызмет ауыстырғышты емес, көшіруді қажет етеді, сондықтан екеуін де конфигурациялаудың орнына оны жоспарлаңыз.

VM көзін емес, Cloud Run көзін маршруттаңыз

Тікелей VPC шығысы таңдалған қосалқы желіден уақытша мекенжайлар бөледі, ал жергілікті жақ трафикті сол ауқымға қайтаруы керек. Басқа VM қосалқы желісі үшін жазылған қайтару маршруты немесе firewall рұқсаты диаграммада дұрыс көрінеді және іс жүзінде сәтсіз болады. Қосалқы желі CIDR-ін жадтан емес, VPC-ден алыңыз, содан кейін қашықтағы құрылғының crypto ACL немесе маршруттау кестесі оны қамтитынын растаңыз.

Динамикалық маршруттау кезінде Cloud Router шын мәнінде нені хабарлайтынын және VPC нені импорттайтынын, кез келген теңшелетін хабарлау саясатын қоса тексеріңіз. Консольде бар, бірақ осы меже үшін таңдалмаған маршрут маршруттың жоқтығымен бірдей.

Барлығы орындалуы тиіс үш шарт

Жұмыс істейтін жолға мыналардың бәрі қажет және олардың әрқайсысы өзінше сәтсіз болады:

  • VPC-де көзделген Cloud VPN қосылымы арқылы жергілікті префикске қарай маршрут.
  • Жергілікті жақта Cloud Run қосалқы желісі үшін кері маршрут.
  • Көзді, межені және портты рұқсат ететін firewall және IPsec қорғау аясы.

Жоқ маршрут әдетте қашықтағы жақта ешбір дәлелсіз уақыт шегінен шығу сияқты көрінеді. Кері маршрут мәселесі сұраныстың келуі және жауаптың жоғалуы сияқты көрінеді. Firewall немесе селектор мәселесі құрылғыға байланысты бас тарту немесе үнсіз тастау сияқты көрінуі мүмкін. Осы үшеуінің қайсысы сізде бар екенін анықтау келесі пәрменді айтарлықтай тарылтады.

Бір уақытша Cloud Run мекенжайын рұқсат етілгендер тізіміне қоспаңыз. Қосалқы желі ауқымын және қолданбаға сәйкес келетін авторизация дизайнын пайдаланыңыз.

Сұранысқа қызмет көрсеткен ревизияны тексеріңіз

Тексеруден бұрын орналастырылған желілік параметрлерді және трафик бөлінісін қараңыз, өйткені жаңарту жаңа ревизия жасай алады, ал сұраныстар әлі ескісіне жетеді. Содан кейін пайдаланушы сұранысы орындайтын операцияны дәл сол ревизиядан орындаңыз. Егер меже жеке хост атауы болса, оның сол ортада шешілуін және шыққан мекенжайды тексеріңіз, өйткені ноутбугіңыздың корпоративтік DNS жауабы қызметтің атау кеңістігі туралы ештеңе дәлелдемейді. TLS хост атауын тексеруді және қашықтағы қолданбаның өз аутентификациясын сақтаңыз.

Direct VPC-нің құжатталған іске қосу қосылымының кешігулерін күтіңіз және әр суық іске қосуды сынған туннель деп диагностикалаудың орнына клиентке дайындық немесе қайта әрекет стратегиясын беріңіз.

Кері қайтару және бұл нені істемейді

Кері қайтару үшін қызметтің желілік және шығыс параметрлерін бұрынғы мәндеріне қайтарыңыз және бұрынғы ревизия әлі трафикке қызмет көрсететінін растаңыз. gcloud пәрменін өзгеріс жазбасында сақтаңыз, өйткені ішінара өзгерістің керісі алты аптадан кейін айқын емес. VPC қосылымын алу қызметті бұрынғы шығыс жолына қайтарады, бұл оқиға кезінде дәл сіз қалаған нәрсе болуы мүмкін.

Бұл дизайн Cloud Run бастайтын қосылымдарды және олардың жауаптарын қамтиды. Ол жергілікті желіге қызмет ішінде мекенжайланатын сокет бермейді, өйткені ішке қарай әшкерелеу ingress шешімі.

Қатысты мақалалар