App Engine VPN базаңызга жете алат: эмне дал келиши керек

App Engine Standard Cloud VPN аркылуу жеке базага жете албайт деген ырастоо платформанын мурунку муунунан калган. Standard инстанциялары кээ бир башка аткаруу чөйрөлөрүндөй VPCге таандык даректи алышпайт, бирок тармагыңызда жайгашкан Serverless VPC Access коннектору аркылуу egress жөнөтө алышат. Бул жол пайда болгондон кийин, Cloud VPN жана алыскы firewall коннектордун трафигин кадимки башка булак сыяктуу көрүшөт. Ийгиликсиз болгон нерсе сейрек учурда жөндөмдүүлүктүн өзү. Бул эч качан теңдештирилбеген үч параметрдин бири.

Эски жооп кайдан келген

Коннекторлор пайда болгонго чейин практикалык жооп чын эле Standard ачык акыркы чекиттер менен гана сүйлөшө алат дегенди билдирген, ал эми командалар аны айланып өтүү үчүн прокси VMге же башка аткаруу чөйрөсүнө өтүшкөн. Платформа өзгөрдү, фольклор өзгөргөн жок. Интернеттеги көп кеңештер дагы эле egress опциясы таптакыр жок болгон доорду чагылдырат.

Түзөтүү угулганынан тар. Standard жеке тармакка жете алат, бирок колдоого алынган egress интеграциясы аркылуу гана жана ошол интеграция чын эле кармаган багыттарга гана.

Алгач egress жолун тандаңыз

Кызматка тиркелген коннектор анын трафигин VPCге киргизет. Коннектордун документтери аймактык шартты жана egress жөндөөлөрүн тизмелейт; коннектор кызматтын аймагында болушу жана жайгаштыруучу инсан үчүн колдонууга жарактуу болушу керек.

vpc_access_connector:
  name: projects/PROJECT_ID/locations/REGION/connectors/CONNECTOR_NAME
  egress_setting: private-ranges-only

private-ranges-only жеке багыттарды VPCге жөнөтөт жана калгандын баарын кадимки интернет жолунда калтырат, бул адатта базага туташууга керек. all-traffic чыгуучу трафикти VPC аркылуу кеңири түртөт, ошондуктан кадимки интернет чакырыктары да VPCнин NAT жана firewall абалын мураска алышат.

Файлды жергиликтүү түзөтүү жайгаштырганга чейин эч нерсени өзгөртпөйт. Иштеп жаткан версия түзүлгөн конфигурациясын сактайт.

Булак дареги коннектор, ноутбукуңуз эмес

Оңдоо убактысынын көбү ушул жерге кетет. Алыскы VPN шлюзу жана базанын firewallы VPC ичинде коннекторго бөлүнгөн диапазонду уруксат бериши керек, кеңсеңиздин дарегин же кызматтын ачык egress дарегин эмес. Бир эреже жазганга чейин ошол диапазонду консолдон табыңыз.

Дагы эки жер макул болушу керек. VPC маршрут таблицасына алыскы база тармагына маршрут керек, ал эми алыскы тарапка коннектор диапазону үчүн кайтаруу маршруту керек. Эгер туннель трафик селекторлорун колдонсо, коннектор диапазону сүйлөшүлгөн алкактын ичинде экенин ырастаңыз. Алыскыдан жергиликтүү багытта гана болгон маршрут кеңири тараган ката жана ал пингдерди өткөрөт, бирок TCP кол кармоону эч качан бүтпөйт.

Бир гана VM кошумча тармагын уруксат берген туннель коннектордун пакеттерин пайдалуу ката билдирүүсүз таштайт, ошондуктан базанын убакыт бүтүшү каттоо маалыматтарынын маселесине окшош.

DNS башка жол менен жүрөт

Жеке базанын хост аты коннектор жеткен тармактын ичинде чечилиши керек, Cloud DNS теңдештирүү же VPC колдоно алган багыттоо аймагы аркылуу. Аны жумуш станцияңызда чечүү жайгаштырылган кызмат жөнүндө эч нерсени далилдебейт, анткени ноутбукуңуз ошол чечүүчүнү колдонбойт.

Эгер ат VPC ичинен ачык дарекке чечилсе, туура эмес firewallды оңдогону жатасыз.

URL Fetch коннекторду колдонбойт

egress жөндөөсү аткаруу чөйрөсүнүн кадимки чыгуучу сокеттерин камтыйт, ал эми мураскер URL Fetch кызматы бул жолдун бөлүгү эмес. urlfetch аркылуу чыгарылган сурам конфигурация эмне дебей коннекторду этибарга албайт. Ийгиликсиз чакырык дагы эле URL Fetch колдонгон эски китепканада болсо, чечим — ошол чакырыкты стандарттык HTTP кардарына которуу.

База драйвери үчүн бул сейрек маселе, бирок ошол эле кызматтан бир акыркы чекит иштеп, экинчиси иштебей калышынын классикалык себеби ушул.

Бир тар сурам менен текшериңиз

Жайгаштырыңыз, анан алыскы тарапты байкап туруп, жайгаштырылган версиядан уруксат берилген бир база операциясын аткарыңыз. База же VPN шлюзу жазган булак дареги коннектордун дареги болушу керек. Эгер андай болбосо, сурам VPCге эч качан кирген эмес жана эч бир туннель конфигурациясы аны түзөтпөйт. Аны консолдон издеген диапазонуңуз менен салыштырыңыз; дал келбестик адатта версияга экинчи коннектор кызмат кылып жатканын билдирет.

VPC ичиндеги VMден ийгиликтүү сурам маршруттун бар экенин далилдейт. Кызмат аны тандаганын далилдебейт.