App Engine kann Är VPN-Datebank erreechen: wat musst zesummenpassen

D'Aussag, datt App Engine Standard keng privat Datebank iwwer Cloud VPN erreeche kann, ass en Iwwerrescht aus enger fréierer Generatioun vun der Plattform. Standard-Instanze kréien net eng VPC-eegen Adress wéi verschidden aner Laufzäitëmfeld, awer si kënnen Egress duerch e Serverless VPC Access-Connector schécken, deen an Ärem Netzwierk läit. Soubal dëse Wee existéiert, gesinn Cloud VPN an déi wäit Firewall den Traffic vum Connector wéi all aner Quell. Wat feeschléit, ass selten d'Fäegkeet selwer. Et ass eng vun dräi Astellungen, déi ni ausgeriicht goufen.

Wouhir déi al Äntwert koum

Ier et Connecteuren gouf, war déi praktesch Äntwert wierklech, datt Standard nëmmen mat ëffentlechen Endpunkte schwätze konnt, an d'Equippen sinn op eng Proxy-VM oder eng aner Laufzäitëmfeld geplënnert, fir dat ze ëmgoen. D'Plattform huet sech geännert, d'Folklore net. Vill Online-Conseile spigelen nach ëmmer déi Ära, wou et iwwerhaapt keng Egress-Optioun gouf.

D'Korrektur ass méi schmuel wéi se kléngt. Standard kann dat privat Netzwierk erreechen, awer nëmmen iwwer eng ënnerstëtzt Egress-Integratioun, an nëmmen fir d'Destinatiounen, déi déi Integratioun tatsächlech fänkt.

Wielt fir d'éischt de Wee vum Egress

E Connector, deen un de Service ugeschloss ass, bréngt säin Traffic an d'VPC. D'Connector-Dokumentatioun listet de regional Virsaz an d'Egress-Astellungen op; de Connector muss an der Regioun vum Service existéieren a vun der Identitéit, déi deployéiert, benotzbar sinn.

vpc_access_connector:
  name: projects/PROJECT_ID/locations/REGION/connectors/CONNECTOR_NAME
  egress_setting: private-ranges-only

private-ranges-only schéckt privat Destinatiounen an d'VPC an léisst alles anescht um normale Internetwee, wat eng Datebankverbindung normalerweis brauch. all-traffic dréckt den ausgängegen Traffic breet duerch d'VPC, sou datt gewéinlech Internetopruff och d'NAT- an d'Firewall-Haltung vun der VPC ierwen.

D'Datei lokal ze änneren, ännert näischt bis Dir deployéiert. Eng lafend Versioun behält d'Konfiguratioun, mat där se erstallt gouf.

D'Quelladress ass de Connector, net Ären Laptop

Hei geet de gréissten Deel vun der Debugging-Zäit hin. De wäite VPN-Gateway an d'Firewall vun der Datebank mussen de Beräich, deen dem Connector zougewise gouf, erlaaben bannent der VPC, net Är Bürosadress an net d'ëffentlech Egress-Adress vum Service. Sicht dee Beräich an der Konsole, ier Dir eng eenzeg Regel schreift.

Zwee aner Plazen mussen iwwereenkomm. D'VPC-Routentabelle brauch eng Route fir dat wäit Datebanknetzwierk, an déi wäit Säit brauch eng Retourroute fir de Beräich vum Connector. Wann den Tunnel Traffic-Selecteure benotzt, bestätegt, datt de Beräich vum Connector bannent dem ausgehandelte Kader läit. Eng Route, déi nëmmen an der Richtung vu wäit op lokal existéiert, ass e heefegt Verseien, a se léisst Pings duerch, ouni jee en TCP-Handshake fäerdeg ze maachen.

En Tunnel, deen nëmmen en VM-Subnet erlaabt, verwäert d'Pakete vum Connector ouni nëtzlech Fehlermeldung, dofir gesäit den Timeout vun der Datebank wéi en Authentifikatiounsproblem aus.

DNS reest en anere Wee

En Hostnumm vun enger privater Datebank muss bannent dem Netzwierk opgeléist ginn, dat de Connector erreecht, iwwer Cloud DNS-Peering oder eng Forwarding-Zon, déi d'VPC ka benotzen. En op Ärer Aarbechtsstatioun opzeléisen, beweist näischt iwwer de deployéierte Service, well Ären Laptop deen Resolver net benotzt.

Wann den Numm sech bannent der VPC op eng ëffentlech Adress opléist, sidd Dir amgaang déi falsch Firewall ze debuggen.

URL Fetch benotzt de Connector net

D'Egress-Astellung deckt déi normal ausgängeg Sockets vun der Laufzäitëmfeld of, an de legacen URL Fetch-Service ass net Deel vun dësem Wee. Eng Ufro, déi iwwer urlfetch erausgeet, ignoréiert de Connector, egal wat d'Konfiguratioun seet. Wann den eenzelen Opruff an enger eelerer Bibliothéik läit, déi nach URL Fetch benotzt, ass d'Léisung, deen Opruff op den normale HTTP-Client ze plënneren.

Fir en Datebanktreiber ass dat selten de Problem, awer et ass de klassischen Grond, firwat een Endpunkt funktionéiert an en aneren net aus demselwe Service.

Iwwerpréift mat enger eenzeger schmueler Ufro

Deployéiert, a féiert dann eng eenzeg erlaabte Datebankoperatioun vun der deployéierter Versioun aus, wärend Dir déi wäit Säit beobacht. D'Quelladress, déi vun der Datebank oder dem VPN-Gateway geloggt gëtt, soll déi vum Connector sinn. Wann net, ass d'Ufro ni an d'VPC erakomm, an et hëlleft keng Tunnelkonfiguratioun. Vergläicht se mam Beräich, deen Dir an der Konsole nogesicht hutt; eng Differenz heescht normalerweis, datt en zweete Connector d'Versioun bedéngt.

Eng erfolgreich Ufro vun enger VM bannent der VPC weist, datt d'Route existéiert. Et weist net, datt de Service se gewielt huet.