Cloud Run op lokal VPN: Direct VPC-Egress astellen

En Cloud VPN-Tunnel setzt Cloud Run net op den Netzwierk. Verbënnt de Service mam richtege Subnetz, rout säi Quellberäich, a test dann déi Revisioun.

Den Tunnel ass op, eng VM erreecht de lokale Server, an de Cloud Run-Service leeft um selwechten Host an eng Zäitiwwerschreidung. Dat ass den normale Startpunkt fir dës Aufgab, an den Tunnel ass selten dat, wat falsch ass. Eng Cloud Run-Revisioun sëtzt net standardméisseg an Ärer VPC, a wa se et mécht, benotzt se hir eegen Quelladressen amplaz vum VM-Subnetz, deen Dir schonn gerout hutt. De Runbook hei drënner verbënnt de Service, rout säin tatsächleche Quellberäich an beweist dann de Wee vun der Revisioun, déi d'Ufro bedéngt huet. Fuert en an därer Reihenfolge aus, well de éischte Schrëtt ze iwwersprangen ass de Grond, firwat sou vill vun dëse Fäll mat enger VPN-Ännerung ophalen, déi näischt reparéiert.

Verbind d'Revisioun, ier Dir den Tunnel debuggt

Cloud Run ënnerstëtzt Direct VPC-Egress, wat den Traffic vum Service op e Subnetz an Ärer VPC setzt, ouni ee Serverless VPC Access-Connector. Fir ee besteeënde Service gesäit d'Aktualiséierung esou aus:

gcloud run services update SERVICE \
  --region=REGION --network=NETWORK --subnet=SUBNET \
  --vpc-egress=private-ranges-only

Ersetzt d'Plazhalter, iwwerpréift wat d'Deployment mam Live-Traffic mécht, a wielt e Subnetz an der Regioun vum Service mat genuch Adresskapazitéit an de richtege Netzwierkberechtegungen.

Wielt de Egress-Modus, deen zum Zil passt

private-ranges-only schéckt d'Ziler, déi en als privat klassifizéiert, duerch d'VPC. Dat heescht net „alles, wat iwwer d'VPN erreechbar ass“, an dës Lück erschéngt, wann de lokale Service an engem Beräich läit, dee vun der Astellung net esou klassifizéiert gëtt. Wann d'Zil net ofgedeckt ass, ass all-traffic den aneren dokumentéierten Modus, an en schéckt alles duerch d'VPC, inklusiv déi ëffentlech Ofhängegkeeten vum Service. Wielt bewosst a schreift d'Konsequenz an de Change-Record.

E Service, deen schonn ee Connector benotzt, brauch eng Migratioun an net ee Schalter, also plangt se, amplaz béides ze konfiguréieren.

Rout d'Cloud Run-Quell, net eng VM-Quell

Direct VPC-Egress verdeelt temporär Adressen aus dem gewielten Subnetz, an déi lokal Säit muss den Traffic an dee Beräich zréckbréngen. Eng Zréckroute oder eng Firewall-Erlabnes, déi fir en anere VM-Subnetz geschriwwe gouf, gesäit am Diagramm richteg aus a fält an der Praxis duerch. Huelt de CIDR vum Subnetz aus der VPC an net aus dem Gediechtnes, a bestätegt dann, datt de Crypto-ACL oder d'Routentabell vum wäitem Apparat en enthält.

Mat dynamescher Routing, iwwerpréift wat den Cloud Router tatsächlech annoncéiert a wat d'VPC importéiert, inklusiv all personaliséiert Annoncepolitik. Eng Route, déi an der Konsole existéiert, awer net fir dëst Zil gewielt ass, ass d'selwecht wéi keng Route.

Dräi Konditiounen, déi all musse erfëllt sinn

E funktionéierende Wee brauch alles vum Folgenden, an all eenzel fält op seng Manéier duerch:

  • Eng Route an der VPC Richtung lokale Prefix duerch déi virgesi Cloud VPN-Verbindung.
  • Eng Zréckroute lokal fir de Cloud Run-Subnetz.
  • E Firewall- an IPsec-Schutzberäich, deen d'Quell, d'Zil an de Port erlaabt.

Eng feelend Route gesäit normalerweis aus wéi eng Zäitiwwerschreidung ouni Beweiser op der wäiter Säit. E Problem mat der Zréckroute gesäit aus wéi eng Ufro, déi ukënnt, an eng Äntwert, déi verschwënnt. E Firewall- oder Selektorsproblem kann e Refus oder eng stëll Verwerfung ausgesinn, jee no Apparat. Erauszefannen, wéi eng vun den dräi Dir hutt, verengt den nächsten Befehl staark.

Setzt keng eenzeg temporär Cloud Run-Adress op d'Erlabsneslëscht. Benotzt de Beräich vum Subnetz an en Autorisatiounsdesign, deen zur Applikatioun passt.

Test d'Revisioun, déi d'Ufro bedéngt huet

Iwwerpréift déi deployéiert Netzwierkastellungen an d'Trafficverdeelung, ier Dir testt, well eng Aktualiséierung eng nei Revisioun ka schafen, wärend d'Ufroe nach eng méi al erreechen. Féiert dann déiselwecht Operatioun aus, déi d'Ufro vum Benotzer ausféiert, vun där Revisioun aus. Wann d'Zil en private Hostnumm ass, iwwerpréift seng Opléisung an där Ëmgebung an d'Adress, déi se erginn huet, well d'Entreprise-DNS-Äntwert vun Ärem Laptop näischt iwwer den Nummraum vum Service beweist. Halt d'TLS-Hostnummpréifung an d'Authentifikatioun vun der wäiter Applikatioun op der Plaz.

Erwaart déi dokumentéiert Direct VPC-Verbindungsverzögerungen beim Start, a gitt dem Client eng Bereetschafts- oder Widderhuelungsstrategie, amplaz all Kale Start als gebrochenen Tunnel ze diagnostizéieren.

Zrécksetzen a wat dëst net mécht

Fir zréckzesetzen, setzt d'Netzwierk- an Egress-Astellunge vum Service op hir fréier Wäerter zréck a bestätegt, datt déi fréier Revisioun nach Traffic bedéngt. Halt den gcloud-Befehl am Change-Record, well d'Ëmkéierung vun enger deelweiser Ännerung sechs Wochen duerno net evident ass. D'VPC-Verbindung ze läschen bréngt de Service op säi fréieren Egress-Wee zréck, wat wärend engem Tëschefall genee dat ka sinn, wat Dir wëllt.

Dëst Design deckt Verbindungen of, déi Cloud Run initiéiert, an hir Äntwerten. Et gëtt dem lokalen Netzwierk keen adresséierbare Socket bannent dem Service, well d'Expositioun no bannen eng Ingress-Entscheedung ass.

Ähnlech Artikelen