VPN аркылуу Google API: VIP’ге маршруттаңыз, бир гана субнетке эмес
VPC субнетин көздөгөн маршрут API’нын VIP дарегин тандабайт. Туура аттарды чечиңиз, VIP префиксин жарыялаңыз, VPC’де кайтаруу жолун сактаңыз, анан HTTPS текшериңиз.
SSH аркылуу жергиликтүү серверге кириңиз, туннелди көтөрүңүз, жана жеке VM жооп берет; анан Google API’ге биринчи чакыруу маршрутсуз ишке ашпайт. VM субнети менен API VIP даректери ар башка багыттар, ошондуктан бирине арналган маршрут экинчисин тандабайт. Жеке API чакыруусу иштеши үчүн үч шарт аткарылышы керек. API аты VIP’ге чечилиши керек, VIP префикси туннел аркылуу жарыяланышы керек, ал эми VPC жоопту кантип кайтарууну билиши керек. Ping бул тууралуу эч нерсе айтпайт, жана субнеттеги машинага иштеген SSH сессиясы да айтпайт.
API’нын VIP даректери өзүнчө багыттар
Google жергиликтүү тармактан API’ге кирүү үчүн атайын VIP даректерин жарыялайт, жана API аттары үчүн DNS так ушул даректерди кайтарышы керек. Экөө тең кичине префикстер жана эч бири RFC 1918 мейкиндиги эмес:
| Record | Resolves to | What it does not give you |
|---|---|---|
| private.googleapis.com | 199.36.153.8/30, the general front door for Google APIs | not a bypass around a service perimeter |
| restricted.googleapis.com | 199.36.153.4/30, reachable only for services a perimeter allows | not the whole API surface, so some names stay out of reach |
Коомдук көрүнгөн даректер маршрут туннелден чыгышы керек дегенди билдирбейт кадимки интернет үчүн. Префикстер жергиликтүү кардар каалаган чыгуу чекитинин ордуна колдоого алынган жол менен Google’дун алдыңкы бөлүктөрүнө жетүүсү үчүн бар. Аларды туннелге таандык багыттар катары кабыл алыңыз, текшериле турган хост катары эмес. Интернет чыгуу үчүн жазылган firewall эрежеси адатта аларды таштайт, жана бул чакыруу башталганга чейин эле ишке ашпай калышынын жалпы себеби.
Кайсы акыркы чекитке жетериңизди DNS чечет
Жергиликтүү чечүүчүнү тандалган акыркы чекит үчүн Google документтеген жазууларга багыттаңыз, ошентип колдонмого керектүү аттар ошол VIP менен жооп берет. Жөн гана googleapis.com тандоо эсеп эмес: топтом реестрлеринин, контейнер реестрлеринин жана көчүрүү коннекторлорунун өз документтелген аттары бар. Чектелген VIP да ар бир кызматты алып жүрбөйт, ошондуктан чечилген ат дагы эле колдоосуз болушу мүмкүн. Чечүүчүгө тийишпестен мурун колдонмо чындап байланышкан домендерди жазып алыңыз.
Кызмат атынын ордуна VPC VM дарегин болжолдоо оңдоо эмес, жана ал адатта DNS кемтигин башка кардар ишке ашпай калганга чейин жашырат.
VIP префиксин жарыялаңыз, калганын сактаңыз
BGP негизиндеги туташууда Cloud Router тандалган VIP префиксин жарыялашы керек, ошентип жергиликтүү маршрутизатор ошол диапазонду көздөлгөн сессия аркылуу үйрөнөт. Бир гана VPC субнеттерин жарыялоо ошол диапазонду кошпойт, жана жергиликтүү маршрутизатор ошол даректер үчүн демейки жолун колдонууну улантат. Маршруттоо таблицасындагы префикс жарыялоонун сессиядан өткөнүнүн жалгыз далили.
Жаңысын кошууда учурдагы жарыялоолорду сактаңыз, анткени маршрутизатор деңгээлиндеги жана теңдеш деңгээлиндеги опциялардын камтылышы башка, жана топтомду алмаштыруу мурун иштеген тармактарды кери кайтарып алышы мүмкүн. Андан кийин эффективдүү жарыялоону бүт маршрутизатордо эмес, ар бир сессияда текшериңиз. Жоголгон префикс жана кери кайтарылган префикс жергиликтүү тараптан бирдей көрүнөт, ошондуктан сессия көрүнүшү гана калтырып кетүүнү регрессиядан ажыратат.
VPC тарабына өз маршруту жана кайтаруу жолу керек
VPC ичинде VIP жолу кийинки секирик катары демейки интернет шлюзин колдонушу керек, жана атына карабастан бул трафик Google тармагында калат. VPC’ге VPN аркылуу жергиликтүү булакка кайтаруу маршруту да керек, бул жарыяланган префикстен өзүнчө объект. Туннел жана кардар бир аймакта болбогондо документтелген аймактык маршруттоо талаптарын эске алыңыз.
Кайтаруу жолун өз алдынча текшериңиз, анткени иштеген сурам багыты бузулган жооп багытын жашырышы мүмкүн. Эки багыт, эки маршрут, жана ар бири өз симптомундай ишке ашпайт.
Сурамды сынап көрүңүз, анан баш тартууну окуңуз
ICMP эхо бул VIP’лерден жооп албайт, ошондуктан ишке ашпаган ping эч нерсени далилдебейт, ийгиликтүүсү абдан аз. Чыныгы кардардан аттын жообун жана тандалган маршрутту текшериңиз, анан сиз үчүн маанилүү кызматка уруксат берилген HTTPS сурамын жөнөтүңүз. Сурам кызматка жетип, четке кагылса, каттоо дайындарын, IAM’ди жана колдонулуучу кызмат периметри саясатын караңыз.
Жеке маршруттоо API уруксатын бербейт жана инсанга эмне кылууга уруксат экенин өзгөртпөйт. Ташуу ийгилиги жана уруксат берилген жооп өзүнчө натыйжалар, жана экөө тең керек. IPv6 жолун да ачык кармаңыз, анткени IPv4 префикстерин конфигурациялоо IPv6’ны артык көргөн кардар тууралуу эч нерсе айтпайт.
Google’дун жергиликтүү тармактан Private Google Access боюнча колдонмосу DNS жазууларын жана маршруттоо талаптарын бирге камтыйт, ошондуктан чечүүчү жана жарыялоо жөндөөлөрүңүздү форум билдирүүсү менен эмес, ошону менен салыштырыңыз. Анан ошол эле сурамды кайра аткарып, жооп менен маршрутту ошол эле билетке жазыңыз.