VPN арқылы Google API: тек қосалқы желіні емес, VIP-ді маршруттаңыз
VPC қосалқы желісіне маршрут API-дің VIP мекенжайларын таңдамайды. Дұрыс атауларды шешіңіз, VIP префиксін жариялаңыз, VPC-де қайтару жолын сақтаңыз, содан кейін HTTPS-ті тексеріңіз.
SSH арқылы жергілікті серверге кіріңіз, туннельді көтеріңіз, жеке VM жауап береді; содан кейін Google API-ге бірінші шақыру маршрутсыз сәтсіз аяқталады. VM қосалқы желісі мен API VIP мекенжайлары әртүрлі межелер, сондықтан біреуіне арналған маршрут екіншісін таңдамайды. Жеке API шақыруы жұмыс істеуі үшін үш шарт орындалуы керек. API атауы VIP-ге шешілуі керек, VIP префиксі туннель арқылы жариялануы керек, ал VPC жауапты қалай қайтаруды білуі керек. Ping бұл туралы ештеңе айтпайды, қосалқы желідегі машинаға жұмыс істеп тұрған SSH сессиясы да айтпайды.
API VIP мекенжайлары бөлек межелер
Google жергілікті желіден API-ге қол жеткізу үшін арнайы VIP мекенжайларын жариялайды, және API атаулары үшін DNS дәл сол мекенжайларды қайтаруы керек. Екеуі де шағын префикстер және ешқайсысы RFC 1918 кеңістігі емес:
| Record | Resolves to | What it does not give you |
|---|---|---|
| private.googleapis.com | 199.36.153.8/30, the general front door for Google APIs | not a bypass around a service perimeter |
| restricted.googleapis.com | 199.36.153.4/30, reachable only for services a perimeter allows | not the whole API surface, so some names stay out of reach |
Ашық көрінетін мекенжайлар маршрут туннельден шығуы керек дегенді білдірмейді қарапайым интернет үшін. Префикстер жергілікті клиент кездейсоқ шығу нүктесінің орнына қолдау көрсетілетін жолмен Google-дың алдыңғы бөліктеріне жетуі үшін бар. Оларды туннельге тиесілі межелер ретінде қарастырыңыз, тексерілетін хост ретінде емес. Интернет шығысына арналған firewall ережесі әдетте оларды тастайды, және бұл шақыру басталмай тұрып сәтсіз аяқталуының жиі себебі.
Қай соңғы нүктеге жететініңізді DNS шешеді
Жергілікті шешушіні таңдалған соңғы нүкте үшін Google құжаттайтын жазбаларға бағыттаңыз, сонда қолданбаға қажет атаулар сол VIP-мен жауап береді. Тек googleapis.com жасау түгендеу емес: пакет тізілімдерінің, контейнер тізілімдерінің және көшіру коннекторларының өз құжатталған атаулары бар. Шектеулі VIP те әр қызметті тасымалдамайды, сондықтан шешілетін атау әлі де қолдаусыз болуы мүмкін. Шешушіге тиіспей тұрып, қолданба нақты хабарласатын домендерді жазып алыңыз.
Қызмет атауының орнына VPC VM мекенжайын болжау түзету емес, және ол әдетте DNS олқылығын басқа клиент сәтсіз болғанша жасырады.
VIP префиксін жариялаңыз, қалғанын сақтаңыз
BGP негізіндегі қосылымда Cloud Router таңдалған VIP префиксін жариялауы керек, сонда жергілікті маршрутизатор бұл диапазонды көзделген сессия арқылы үйренеді. Тек VPC қосалқы желілерін жариялау бұл диапазонды қоспайды, ал жергілікті маршрутизатор сол мекенжайлар үшін әдепкі жолын қолдана береді. Маршруттау кестесіндегі префикс жариялаудың сессиядан өткенінің жалғыз дәлелі.
Жаңасын қосқанда қолданыстағы жариялауларды сақтаңыз, өйткені маршрутизатор деңгейі мен тең деңгейіндегі опциялардың ауқымы әртүрлі, ал жиынтықты ауыстыру бұрын жұмыс істеген желілерді кері қайтарып алуы мүмкін. Содан кейін тиімді жариялауды бүкіл маршрутизаторда емес, әр сессияда тексеріңіз. Жоғалған префикс пен кері қайтарылған префикс жергілікті жақтан бірдей көрінеді, сондықтан сессия көрінісі ғана қалдырып кетуді регрессиядан ажыратады.
VPC жағында өз маршруты мен қайтару жолы керек
VPC ішінде VIP жолы келесі секіріс ретінде әдепкі интернет шлюзін қолдануы керек, және атауына қарамастан бұл трафик Google желісінде қалады. VPC-ге VPN арқылы жергілікті көзге қайтару маршруты да қажет, бұл жарияланған префикстен бөлек нысан. Туннель мен клиент бір аймақта болмаған кезде құжатталған аймақтық маршруттау талаптарын ескеріңіз.
Қайтару жолын дербес тексеріңіз, өйткені жұмыс істеп тұрған сұрау бағыты бұзылған жауап бағытын жасыруы мүмкін. Екі бағыт, екі маршрут, және әрқайсысы өз симптомымен сәтсіз аяқталады.
Сұрауды сынап көріңіз, содан кейін бас тартуды оқыңыз
ICMP жаңғырығы бұл VIP-лерден жауап алмайды, сондықтан сәтсіз ping ештеңе дәлелдемейді, ал сәттісі өте аз. Нақты клиенттен атау жауабын және таңдалған маршрутты тексеріңіз, содан кейін сізге маңызды қызметке рұқсат етілген HTTPS сұрауын жіберіңіз. Сұрау қызметке жетіп, қабылданбаса, тіркелгі деректерін, IAM-ді және қолданылатын қызмет периметрі саясатын қараңыз.
Жеке маршруттау API рұқсатын бермейді және сәйкестендіруге не істеуге рұқсат екенін өзгертпейді. Тасымалдау сәттілігі мен рұқсат етілген жауап бөлек нәтижелер, және екеуі де керек. IPv6 жолын да айқын ұстаңыз, өйткені IPv4 префикстерін конфигурациялау IPv6-ны қалайтын клиент туралы ештеңе айтпайды.
Google-дың жергілікті желіден Private Google Access туралы нұсқаулығы DNS жазбалары мен маршруттау талаптарын бірге қамтиды, сондықтан шешуші мен жариялау параметрлерін форум жазбасымен емес, осымен салыстырыңыз. Содан кейін сол сұрауды қайта орындап, жауап пен маршрутты сол билетке жазыңыз.