Cloud Run'дан жергиликтүү VPN'ге: түз VPC чыгуусун жөндөө

Cloud VPN туннели Cloud Run'ды тармакка кошпойт. Кызматты туура субнетке туташтырыңыз, анын булак диапазонун маршруттаңыз, анан ошол ревизияны текшериңиз.

Туннель иштеп жатат, VM жергиликтүү серверге жетет, бирок Cloud Run кызматы ошол эле хостто убакыттан өтүп кетет. Бул бул тапшырманын кадимки баштапкы чекити жана туннель сейрек күнөөлүү болот. Cloud Run ревизиясы демейде сиздин VPC ичинде жайгашпайт, ал эми жайгашканда сиз мурун маршруттаган VM субнетинен эмес, өзүнүн булак даректерин колдонот. Төмөнкү runbook кызматты туташтырат, анын реалдуу булак диапазонун маршруттайт, анан сурамга кызмат кылган ревизиядан жолду далилдейт. Аны ушул тартипте аткарыңыз, анткени биринчи кадамды өткөрүп жиберүү ушундай учурлардын көбүнүн эч нерсени оңдобогон VPN өзгөртүүсү менен аякташынын себеби.

Туннелди жөндөөдөн мурун ревизияны туташтырыңыз

Cloud Run колдойт: түз VPC чыгуусун, ал кызматтын трафигин Serverless VPC Access коннектору жок сиздин VPC'деги субнетке жайгаштырат. Бар кызмат үчүн жаңыртуу мындай көрүнөт:

gcloud run services update SERVICE \
  --region=REGION --network=NETWORK --subnet=SUBNET \
  --vpc-egress=private-ranges-only

Орун толтургучтарды алмаштырыңыз, жайгаштыруу тирүү трафикке эмне кыларын карап чыгыңыз жана кызматтын аймагында жетиштүү дарек сыйымдуулугу жана туура тармак уруксаттары бар субнетти тандаңыз.

Барар жериңизге ылайыктуу чыгуу режимин тандаңыз

private-ranges-only жеке деп классификациялаган барар жерлерди VPC аркылуу жөнөтөт. Бул «VPN аркылуу жетүүгө боло турган бардык нерсе» дегенди билдирбейт, жана бул ажырым жергиликтүү кызмат жөндөө ушундай классификациялабаган диапазондо турганда пайда болот. Эгер барар жер камтылбаса, анда all-traffic документтелген экинчи режим жана ал кызматтын коомдук көз карандылыктарын кошуп, баарын VPC аркылуу жөнөтөт. Атайын тандап, кесепетин өзгөртүү жазуусуна жазыңыз.

Коннекторду колдонуп жаткан кызмат которууну эмес, көчүрүүнү талап кылат, ошондуктан экөөнү тең конфигурациялоонун ордуна аны пландаңыз.

VM булагын эмес, Cloud Run булагын маршруттаңыз

Түз VPC чыгуусу тандалган субнеттен убактылуу даректерди бөлөт, ал эми жергиликтүү тарап трафикти ошол диапазонго кайтарышы керек. Башка VM субнети үчүн жазылган кайтаруу маршруту же firewall уруксаты диаграммада туура көрүнөт жана иш жүзүндө ишке ашпайт. Субнеттин CIDR'ин эстен эмес, VPC'ден алыңыз, анан алыскы түзмөктүн crypto ACL же маршруттоо таблицасы аны камтый турганын ырастаңыз.

Динамикалык маршруттоодо Cloud Router чындыгында эмнени жарыялап жатканын жана VPC эмнени импорттогонун, каалаган ыңгайлаштырылган жарыялоо саясатын кошуп текшериңиз. Консолдо бар, бирок бул барар жер үчүн тандалбаган маршрут маршруттун жоктугу менен бирдей.

Баары аткарылышы керек үч шарт

Иштеген жолго төмөнкүлөрдүн баары керек жана алардын ар бири өзүнчө ишке ашпайт:

  • VPC'де көздөлгөн Cloud VPN байланышы аркылуу жергиликтүү префикске карай маршрут.
  • Жергиликтүү тарапта Cloud Run субнети үчүн кайтаруу маршруту.
  • Булакты, барар жерди жана портту уруксат кылган firewall жана IPsec коргоо аймагы.

Жок маршрут адатта алыскы тарапта эч кандай далилсиз убакыттан өтүү сыяктуу көрүнөт. Кайтаруу маршрутунун көйгөйү сурамдын келиши жана жооптун жоголушу сыяктуу көрүнөт. Firewall же селектор көйгөйү түзмөккө жараша баш тартуу же үнсүз таштоо сыяктуу көрүнүшү мүмкүн. Үчөөнүн кайсынысы сизде экенин аныктоо кийинки буйрукту бир кыйла тарылтат.

Бир убактылуу Cloud Run дарегин уруксат берилгендер тизмесине кошпоңуз. Субнет диапазонун жана колдонмого ылайыктуу авторизация дизайнын колдонуңуз.

Сурамга кызмат кылган ревизияны текшериңиз

Текшерүүдөн мурун жайгаштырылган тармак жөндөөлөрүн жана трафик бөлүштүрүүсүн караңыз, анткени жаңыртуу жаңы ревизия жаратышы мүмкүн, ал эми сурамдар дагы эле эскисине жетет. Андан кийин колдонуучунун сурамы аткарган операцияны ошол эле ревизиядан аткарыңыз. Эгер барар жер жеке хост аты болсо, анын ошол чөйрөдө чечилишин жана пайда болгон дарегин текшериңиз, анткени ноутбукуңуздун корпоративдик DNS жообу кызматтын ат аймагы жөнүндө эч нерсени далилдебейт. TLS хост атын текшерүүнү жана алыскы колдонмонун өз аутентификациясын сактаңыз.

Direct VPC'нин документтелген баштоо байланышынын кечигүүлөрүн күтүңүз жана ар бир муздак баштоону сынган туннель деп диагностикалоонун ордуна кардарга даярдык же кайра аракет стратегиясын бериңиз.

Кайтаруу жана бул эмнени кылбайт

Кайтаруу үчүн кызматтын тармактык жана чыгуу жөндөөлөрүн мурунку маанилерине кайтарыңыз жана мурунку ревизия дагы эле трафикке кызмат кыларын ырастаңыз. gcloud буйругун өзгөртүү жазуусунда сактаңыз, анткени жарым-жартылай өзгөртүүнүн тескериси алты жумадан кийин айкын эмес. VPC туташуусун алып салуу кызматты мурунку чыгуу жолуна кайтарат, бул окуя учурунда дал сиз каалаган нерсе болушу мүмкүн.

Бул дизайн Cloud Run баштаган байланыштарды жана алардын жоопторун камтыйт. Ал жергиликтүү тармакка кызматтын ичинде даректелүүчү сокет бербейт, анткени ичке карай ачыкка чыгуу ingress чечими.

Тектеш макалалар