VPN an d'VPC funktionéiert, awer de verwalteten Service leeft an en Timeout
Den Tunnel endet op Ärer Kante, net bei der viischter Dier vum Fournisseur. Klassifizéiert den Zil wéi VM-gehost, VPC-ugebaut oder nëmme ëffentlech, ier Dir eng Route ännert.
Eng verwalt Datebank iwwer eng VPN z'erreechen schléit meeschtens aus engem Grond feel, deen keen an de Runbook geschriwwen huet: den Tunnel endet op der Kante vun Ärem Netz, wärend de Service ni op Ärer Säit dovun war. D'Routentabell gesäit richteg aus, den Tunnel mellt sech als aktiv, an d'Verbindung leeft trotzdeem an en Timeout. Schafft déi véier Kontrollen hei drënner an der Rei of a stoppt bei der éischter, där hir Erfëllungsbedingung net erfëllt ass, well all Kontroll duerno unhëlt, datt déi vireg gegraff huet.
Kontroll eent: wou läit den Endpunkt tatsächlech?
Eng VPN-Gateway verbënnt zwee Netzwierker, där hir Adresséierung Dir kontrolléiert. En verwaltete Service gëtt hannert der eegener viischter Dier vum Fournisseur bedriwwen, an déi Dier hëlt jee no Produkt eng vun dräi Formen un. Wann Dir net wësst, mat wéi enger Form Dir ze dinn hutt, hëlleft keng nach sou grouss Routenaarbecht, well de Feeler vläicht guer kee Routenfeeler ass.
| Shape | What it means | Pass condition |
|---|---|---|
| Software on your VM | Ordinary subnet addressing | Route and security group permit the client |
| Attached to your VPC | Private, but only inside that VPC | Endpoint associated, source allowed, route present |
| Provider-hosted, public endpoint | Optional private link, not private by default | A private endpoint exists and DNS points at it |
Déi meescht verschwend Nomëtteg entstinn doraus, datt dës Klassifikatioun iwwerspronge gëtt an direkt op d'Routentabell gaang gëtt. En beim Fournisseur gehoste Service mat engem ëffentlechen Endpunkt läit net hannert Ärem Tunnel, wat den Diagramm och seet, an een deen un d'VPC ugebaut ass, wäert ni an enger ëffentlecher DNS-Antwert optrieden.
Kontroll zwee: en un d'VPC ugebauten Service wéi ElastiCache
Cache vun där Zort gi bannent Ärer eegener VPC adresséiert an hu keng Rei- op den Internet geriicht Lauschterer. Eng Client-VPN, déi an der selwechter VPC endet, kann se erreechen, awer nëmme wann dräi Bedingunge gläichzäiteg erfëllt sinn. Den Endpunkt vum Cache muss mat Subnetzen associéiert sinn, déi Ären Tunnel gesäit, seng Sécherheetsgrupp muss d'Adress erlaben, vun där Är Clienten kommen, an op der Clientsäit brauch et eng Route, déi d'Cache-Subnetzen deckt.
De gewéinleche Feeler ass unzehuelen, datt eng Verbindung iergendwou an der Géigend zielt. D'VPN un eng aner VPC unzebauen, oder sech nëmmen op Peering ze stäipen, erweidert weder d'Sécherheetsgrupp vum Cache nach seng Subnetz-Routentabell op Är Clienten. Wann den existéierenden Tunnel soss enzwou endet, ass en Iwwerspranghost oder e VPN-Server bannent där VPC de gewéinleche Réckgrëff. Dee Réckgrëff ass en Ëmwee an net en Design, an en soll am Runbook als sou markéiert ginn.
Kontroll dräi: en PaaS-Endpunkt mat engem ëffentlechen Numm
Azure Database for PostgreSQL presentéiert en ëffentlechen Servernumm. Hie gëtt Iech keng privat Adress, déi Dir an enger hosts-Datei festleeë kënnt a iwwer eng Gateway route kënnt. Endpunkte fir d'Service vum virtuelle Netz limitéieren, wéi eng Subnetzen eng Ressource kënnen erreechen; si autoriséieren kee lokale Client, deen iwwer eng VPN kënnt.
Privat Zougang kréien heescht en private Endpunkt oder en Design mat privater Verbindung anzeféieren an duerno eng privat DNS-Zon bäizefügen, sou datt den ëffentlechen Numm mat deem Endpunkt amplaz vum Internet äntwert. Eng VPN a Kombinatioun mat enger Regel fir den Serviceendpunkt ass eng aner Architektur, déi nëmmen am Diagramm gläich ausgesäit. App Service follegt déiselwecht Logik aus der anerer Richtung: d'VNet-Integratioun erlaabt der App, ausgoend Uruff an en VNet ze maachen, an et entsteet kee vun Ärem Tunnel agehende private Wee. Een agehende private Zougang verlaangt dofir en private Endpunkt, eng App Service Environment oder eng Gateway virun der App, a wat dovun Dir benotze kënnt, hänkt vum Plang of.
Kontroll véier: Produkter mat hirer eegener viischter Dier
Firebase Hosting kann net un eng Cloud VPN ugebaut ginn, well d'Hostingschicht eng global Viischt ass an net eppes bannent enger Projet-VPC. Déi dokumentéiert Alternativ ass, den kontrolléierten Agang selwer ze bauen, mat enger Proxy-Instanz oder engem Lastverdeeler, deen op engem Behälter baséiert. Sou oder esou hält d'Säit op, en puren Hostingprodukt ze sinn, a gëtt Infrastruktur, déi Dir elo bedreift. Dee Tausch verdéngt en Numm, ier een versprécht, datt den Tunnel en deckt.
Private API Gateway steet méi no un der VPC-Servicessäit: en Interface-VPC-Endpunkt verëffentlecht en Hostnumm, deem seng Äntwerten privat Adresse sinn, an den Trafic vun Ärem Site kënnt iwwer den Tunnel oder eng dedizéiert Verbindung. Den Endpunkt muss mat der API associéiert sinn, an d'Zertifikat souwéi den Hostnumm mussen zu der personaliséierter Domain passen, déi d'Aufrufer benotzen.
Google Cloud VPN-Tunnelen binden sech un Peer-IP-Adressen, net un Nimm. D'DNS-Weiderleedung gëtt separat konfiguréiert, an dofir kann en Tunnel komplett gesond sinn, wärend d'Ufroen an der wäiter privater Zon nach ëmmer feel schloen.
Lokaliséiert dann d'Grenz
Fuert déi selwecht Verbindung vun enger VM bannent der VPC aus. Wann se do geléngt a vum VPN-Client aus feel schléit, läit d'Lück tëschent dem Clientwee an dem Serviceendpunkt: eng Route, eng Sécherheetsgrupp, eng Endpunktpolitik oder en Numm. Wann béid Versich feel schloen, kann näischt an deem Netz de Service erreechen, an d'VPN war ni den Hindernis.
getent hosts db.internal.example
nc -vz db.internal.example 5432Maacht d'Nummufro an d'Portkontroll getrennt, well se aus verschiddene Grënn feel schloen an d'Puer Iech seet, wéi eng Hallschent vum Wee futti ass. En Numm, deen sech an eng ëffentlech Adress opléist, seet Iech, datt déi privat DNS-Zon net am Spill ass.