VPC ге VPN иштейт, бирок башкарылуучу кызмат убакыттан өтөт
Туннель сиздин чекте аяктайт, провайдердин кире бериш эшигинде эмес. Маршрутту өзгөртүүдөн мурун максатты VMде жайгашкан, VPC ге туташкан же гана коомдук деп классификациялаңыз.
VPN аркылуу башкарылуучу маалымат базасына жетүү адатта эч ким колдонмого жазбаган себептен ийгиликсиз болот: туннель сиздин тармагыңыздын четинде аяктайт, ал эми кызмат эч качан анын сиздин тарабыңызда болгон эмес. Маршруттар таблицасы туура көрүнөт, туннель активдүү экенин билдирет, бирок байланыш баары бир убакыттан өтөт. Төмөнкү төрт текшерүүнү ирети менен аткарыңыз жана өтүү шарты аткарылбаган биринчи текшерүүдө токтоңуз, анткени андан кийинки ар бир текшерүү мурункулары өттү деп болжолдойт.
Биринчи текшерүү: акыркы чекит чындыгында кайда жашайт?
VPN дарбазасы сиз көзөмөлдөгөн даректерге ээ эки тармакты бириктирет. Башкарылуучу кызмат провайдердин өзүнүн кире бериш эшигинин артында иштейт, жана ал эшик продуктка жараша үч форманын бирин алат. Кайсы форма менен иштешип жатканыңызды билбесеңиз, эч кандай маршрут иши жардам бербейт, анткени бузулуу маршрут бузулуусу эмес болушу мүмкүн.
| Shape | What it means | Pass condition |
|---|---|---|
| Software on your VM | Ordinary subnet addressing | Route and security group permit the client |
| Attached to your VPC | Private, but only inside that VPC | Endpoint associated, source allowed, route present |
| Provider-hosted, public endpoint | Optional private link, not private by default | A private endpoint exists and DNS points at it |
Көпчүлүк текке кеткен түштөн кийинки убакыт бул классификацияны өткөрүп жиберип, түз эле маршруттар таблицасына баруудан келип чыгат. Провайдерде жайгашкан коомдук акыркы чекити бар кызмат диаграмма эмне десе да сиздин туннелиңиздин артында эмес, ал эми VPC ге туташкан кызмат коомдук DNS жообунда эч качан көрүнбөйт.
Экинчи текшерүү: VPC ге туташкан кызмат, мисалы ElastiCache
Ушундай типтеги кэштер өз VPCңиздин ичинде даректелишет жана интернетке караган угуучусу такыр жок. Ошол эле VPCде аяктаган кардар VPN аларга жете алат, бирок үч шарт бир убакта аткарылганда гана. Кэштин акыркы чекити туннелиңиз көрө алган субтармактарга байланышкан болушу керек, анын коопсуздук тобу кардарларыңыз келген дарекке уруксат бериши керек, жана кардар тарапта кэш субтармактарын камтыган маршрут болушу керек.
Кеңири тараган ката — жакын жердеги байланыш эсепке алынат деп ойлоо. VPNди башка VPCге туташтыруу же peeringге гана таянуу кэштин коопсуздук тобун же анын субтармагынын маршруттар таблицасын кардарларыңызга чейин кеңейтпейт. Учурдагы туннель башка жерде аяктаса, ошол VPCдин ичинде жайгаштырылган секирүү хосту же VPN сервери адаттагы камдык чечим болот. Мындай камдык чечим долбоор эмес, айланып өтүү жолу, жана колдонмодо аны ошондой белгилөө керек.
Үчүнчү текшерүү: коомдук аталышы бар PaaS акыркы чекити
Azure Database for PostgreSQL коомдук сервер аталышын сунуштайт. Ал сизге hosts файлында бекитип, дарбаза аркылуу багыттоого боло турган жеке дарек бербейт. Виртуалдык тармак кызматынын акыркы чекиттери кайсы субтармактар ресурска жете аларын чектейт; алар VPN аркылуу келген жергиликтүү кардарга уруксат бербейт.
Жеке кирүү алуу дегенибиз жеке акыркы чекитти же жеке байланыш долбоорун киргизип, анан коомдук аталыш интернеттин ордуна ошол чекит менен жооп берери үчүн жеке DNS аймагын кошуу. VPNди кызматтын акыркы чекити эрежеси менен айкалыштыруу — диаграммада гана окшош көрүнгөн башка архитектура. App Service ошол эле логиканы карама-каршы багыттан улайт: VNet интеграциясы колдонмого VNetтин ичине чыгуучу чалууларды жасоого мүмкүндүк берет жана сиздин туннелиңизден кирүүчү жеке жолду түзбөйт. Ошондуктан кирүүчү жеке кирүү жеке акыркы чекитти, App Service чөйрөсүн же колдонмонун алдындагы дарбазаны талап кылат, жана алардын кайсынысын колдоно аларыңыз планга байланыштуу.
Төртүнчү текшерүү: өз кире бериш эшиги бар продуктулар
Firebase Hostingди Cloud VPNге туташтыруу мүмкүн эмес, анткени хостинг катмары долбоордун VPCсинин ичиндеги нерсе эмес, глобалдык алдыңкы бет. Документтелген альтернатива — көзөмөлдөнгөн кирүү чекитин өзүңүз куруу, прокси инстанциясы же чакага таянган жүктөм теңдештиргичи менен. Кандай болбосун сайт таза хостинг продуктусу болуудан калат жана эми өзүңүз башкарган инфраструктурага айланат. Бул алмашууну бирөө туннель аны жабат деп убада кылганга чейин атоого татыйт.
Private API Gateway VPC кызматтарынын тарабына жакыныраак: interface тибиндеги VPC акыркы чекити жооптору жеке даректер болгон хост аталышын жарыялайт, ал эми сиздин имаратыңыздан трафик туннель же атайын өз ара туташуу аркылуу келет. Акыркы чекит APIге байланышкан болушу керек, ал эми сертификат жана хост аталышы чакыргандар колдонгон ыңгайлаштырылган доменге дал келиши керек.
Google Cloud VPN туннелдери аттарга эмес, өнөктөш IP даректерине байланышат. DNS жөнөтүү өзүнчө конфигурацияланат, ошондуктан туннель толук соо болушу мүмкүн, ал эми алыскы жеке аймактагы издөөлөр дагы эле ийгиликсиз болот.
Андан кийин чекти табыңыз
Ошол эле байланышты VPCдин ичиндеги VMден иштетиңиз. Ал жерде ийгиликтүү болуп, VPN кардарынан ийгиликсиз болсо, ажырым кардардын жолу менен кызматтын акыркы чекитинин ортосунда: маршрут, коопсуздук тобу, акыркы чекит саясаты же ат. Эки аракет тең ийгиликсиз болсо, ошол тармакта эч нерсе кызматка жете албайт жана VPN эч качан тоскоол болгон эмес.
getent hosts db.internal.example
nc -vz db.internal.example 5432Ат издөөнү жана порт текшерүүнү өзүнчө аткарыңыз, анткени алар ар кандай себептерден ийгиликсиз болот жана бул жуп сизге жолдун кайсы жарымы бузулганын айтат. Коомдук дарекке чечилген ат сизге жеке DNS аймагы иштебей жатканын айтат.