Google-API iwwer VPN: rout d’VIP, net just d’Subnetz
Eng Route op eng VPC-Subnetz wielt d’VIPe vun der API net aus. Léis déi richteg Nimm op, annoncéier de VIP-Präfix, behal de Retourwee an der VPC, a test dann HTTPS.
Log dech iwwer SSH um lokale Server an, bréng den Tunnel erop, an déi privat VM äntwert; duerno schléit den éischten Uruff op eng Google-API ouni Route feel. D’Subnetz vun der VM an d’VIPe vun der API sinn ënnerschiddlech Destinatiounen, dofir wielt eng Route fir déi eng net déi aner. Dräi Bedingunge mussen erfëllt sinn, éier en private API-Uruff funktionéiere kann. Den API-Numm muss sech op eng VIP opléisen, de VIP-Präfix muss iwwer den Tunnel annoncéiert ginn, an d’VPC muss wëssen, wéi d’Äntwert zréck geet. E Ping seet der näischt dovun, an eng funktionéierend SSH-Sessioun op eng Maschinn an der Subnetz och net.
D’VIPe vun der API sinn eegen Destinatiounen
Google publizéiert eege VIPe fir den API-Zougrëff aus dem lokalen Netz, an dat sinn d’Adressen, déi ären DNS fir d’API-Nimm zréckgi muss. Béid si kleng Präfixer, an keen ass RFC-1918-Raum:
| Record | Resolves to | What it does not give you |
|---|---|---|
| private.googleapis.com | 199.36.153.8/30, the general front door for Google APIs | not a bypass around a service perimeter |
| restricted.googleapis.com | 199.36.153.4/30, reachable only for services a perimeter allows | not the whole API surface, so some names stay out of reach |
Adressen déi ëffentlech ausgesi bedeiden net, datt d’Route den Tunnel verloosse soll fir den normale Internet. D’Präfixer ginn et, fir datt e lokale Client d’Frontende vun Google iwwer en ënnerstëtzte Wee erreecht an net iwwer en arbiträren Austrëttspunkt. Behandel se als Destinatiounen déi zum Tunnel gehéieren, net als Hosts fir ze prüfen. Eng Firewall-Reeg déi fir Internet-Austrëtt geschriwwe gouf, verwërft se meeschtens, an dat ass ee gemeinsame Grond firwat en Uruff feel schléit éier en ufänkt.
Den DNS entscheet, wéi en Endpunkt s du erreechs
Richt den lokale Resolver op d’Enregistrementer, déi Google fir den ausgewielten Endpunkt dokumentéiert, soudatt d’Nimm déi d’Applikatioun brauch mat där VIP äntweren. Just googleapis.com ass keen Inventar: Paketregistren, Containerregistren a Migratiounskonnektoren hunn hir eege dokumentéiert Nimm. Och déi ageschränkt VIP dréit net all Déngscht, dofir kann en Numm deen sech opléist nach ëmmer net ënnerstëtzt sinn. Schreib d’Domainen op déi d’Applikatioun tatsächlech kontaktéiert, éier s du de Resolver uschléiss.
Eng VM-Adress an der VPC als Ersatz fir en Déngschtnumm ze roden ass keng Reparatur, an et verstoppt meeschtens d’DNS-Lück bis en anere Client feel schléit.
Annoncéier de VIP-Präfix, behal de Rescht
Bei enger BGP-baséierter Verbindung muss de Cloud Router de gewielte VIP-Präfix annoncéieren, soudatt de lokale Router dëse Beräich iwwer d’Sessioun léiere kann. Just d’VPC-Subnetze matzedeelen setzt dëse Beräich net derbäi, an de lokale Router benotzt fir déi Adressen weider säin Standardwee. De Präfix an der Routing-Tabell ass deen eenzegen Beweis, datt d’Annonce d’Sessioun iwwerqueiert huet.
Behal déi existéierend Annoncen, wärend s du déi nei derbäi setz, well Optiounen op Router-Niveau an op Peer-Niveau ënnerschiddlech Reechewäit hunn, an en Tausch vum Set ka Netzer zréckzéien déi scho funktionéiert hunn. Duerno kontrolléier d’effektiv Annonce op all Sessioun an net um Router als Ganzt. E fehlende Präfix an en zréckgezunnene Präfix gesinn vun der lokaler Säit d’selwecht aus, dofir trennt d’Sessiounsvue d’Vergiessen vun enger Regressioun.
D’VPC-Säit brauch hir eege Route an hire Retourwee
An der VPC muss de VIP-Wee de Standard-Internet-Gateway als nächsten Hop benotzen, an trotz dem Numm bleift dësen Trafic am Netz vun Google. D’VPC brauch och eng Route zréck op d’lokal Quell iwwer de VPN, an dat ass en eegent Objet géintiwwer dem annoncéierte Präfix. Berücksichteg d’dokumentéiert regional Routing-Ufuerderungen, wann den Tunnel an de Client net an der selwechter Regioun sinn.
Kontrolléier de Retourwee onofhängeg, well eng funktionéierend Ufrorichtung eng futti Äntwertrichtung verstoppe kann. Zwou Richtungen, zwou Routen, an all eenzel schléit mat hirem eegene Symptom feel.
Test d’Ufro, duerno lies d’Oflehnung
ICMP-Echo kritt keng Äntwert vun dësen VIPen, dofir beweise feelgeschloen Pingen näischt an e gelungene ganz wéineg. Vum tatsächleche Client aus, kuck d’Äntwert vum Numm an déi gewielt Route un, an da maach eng autoriséiert HTTPS-Ufro un den Déngscht deen dech intresséiert. Wann d’Ufro den Déngscht erreecht an ofgeleent gëtt, kuck d’Berechtegungsdaten, IAM an all Déngschtperimeter-Politik déi sech uwenden.
Private Routing gëtt keng API-Autorisatioun a ännert net wat d’Identitéit dierf maachen. Transporterfolleg an eng autoriséiert Äntwert sinn getrennt Resultater, an du brauchs béid. Hal och de IPv6-Wee explizit, well d’IPv4-Präfixer ze konfiguréieren näischt iwwer e Client seet deen IPv6 virzitt.
Dem Google säi Guide zu Private Google Access aus dem lokalen Netz deckt d’DNS-Enregistrementer an d’Routing-Ufuerderungen zesummen of, dofir vergläich deng Resolver- an Annonce-Astellungen domat an net mat engem Forumspost. Duerno widderhuel déiselwecht Ufro a notéier d’Äntwert an d’Route am selwechten Ticket.