Cloud Run-аас локал VPN руу: шууд VPC гаралтын тохиргоо

Cloud VPN туннель нь Cloud Run-ыг сүлжээнд оруулдаггүй. Үйлчилгээг зөв дэд сүлжээнд холбож, эх сурвалжийн мужийг чиглүүлээд дараа нь тэр хувилбарыг туршина.

Туннель ажиллаж байна, VM локал серверт хүрч байна, харин Cloud Run үйлчилгээ мөн хост дээр хугацаа хэтэрч байна. Энэ нь энэ ажлын ердийн эхлэл бөгөөд туннель нь буруу байх нь ховор. Cloud Run хувилбар анхдагчаар таны VPC дотор байдаггүй, байсан ч та аль хэдийн чиглүүлсэн VM дэд сүлжээний оронд өөрийн эх сурвалжийн хаягуудыг ашигладаг. Доорх runbook үйлчилгээг холбож, түүний бодит эх сурвалжийн мужийг чиглүүлээд, дараа нь хүсэлтэд үйлчилсэн хувилбараас замыг батална. Яг энэ дарааллаар гүйцэтгээрэй, учир нь эхний алхмыг алгасах нь ийм тохиолдлын олонх нь юу ч засдаггүй VPN өөрчлөлтөөр дуусах шалтгаан юм.

Туннелийг дибаг хийхээс өмнө хувилбарыг холбоно уу

Cloud Run нь шууд VPC гаралт-ыг дэмждэг бөгөөд Serverless VPC Access коннекторгүйгээр үйлчилгээний урсгалыг таны VPC-ийн дэд сүлжээнд байрлуулдаг. Одоо байгаа үйлчилгээний хувьд шинэчлэлт ийм харагдана:

gcloud run services update SERVICE \
  --region=REGION --network=NETWORK --subnet=SUBNET \
  --vpc-egress=private-ranges-only

Орлуулагчийг сольж, байршуулалт амьд урсгалд юу хийдэг болохыг хянаад, үйлчилгээний бүс нутагт хангалттай хаягийн багтаамж, зөв сүлжээний зөвшөөрөл бүхий дэд сүлжээг сонгоно уу.

Очих газрын хэмжээнд тохирох гаралтын горимыг сонгоно уу

private-ranges-only хувийн гэж ангилсан очих газруудыг VPC-ээр дамжуулдаг. Энэ нь «VPN-ээр хүрэх боломжтой бүх зүйл» гэсэн үг биш бөгөөд тохиргоо тэгж ангилаагүй мужид локал үйлчилгээ байх үед тэр зөрүү илэрдэг. Очих газар хамрагдаагүй бол all-traffic нь бичигдсэн нөгөө горим бөгөөд үйлчилгээний нийтийн хамаарлыг оруулан бүгдийг VPC-ээр дамжуулдаг. Зориуд сонгоод үр дагаврыг өөрчлөлтийн бүртгэлд бичээрэй.

Коннектор аль хэдийн ашиглаж байгаа үйлчилгээнд унтраалга биш шилжилт хэрэгтэй тул хоёуланг нь тохируулахын оронд төлөвлөөрэй.

VM-ийн эх сурвалж биш, Cloud Run-ын эх сурвалжийг чиглүүлээрэй

Шууд VPC гаралт сонгосон дэд сүлжээнээс түр хаяг хуваарилдаг бөгөөд локал тал урсгалыг тэр мужид буцаах ёстой. Өөр VM дэд сүлжээнд зориулж бичсэн буцах зам эсвэл галт ханын зөвшөөрөл диаграммд зөв харагдана, практикт бүтэлгүйтнэ. Дэд сүлжээний CIDR-ыг санах ойноос биш VPC-ээс авч, дараа нь алсын төхөөрөмжийн crypto ACL эсвэл чиглүүлэлтийн хүснэгт үүнийг агуулж байгааг батална уу.

Динамик чиглүүлэлтийн үед Cloud Router үнэхээр юу зарлаж байгаа, VPC юу импортолж байгааг, түүний дотор аливаа захиалгат зарлалын бодлогыг шалгана уу. Консолд байгаа ч энэ очих газарт сонгогдоогүй зам нь замгүйтэй адил.

Бүгд биелэх ёстой гурван нөхцөл

Ажиллах замд дараах бүгд хэрэгтэй бөгөөд тус бүр өөрийн аргаар бүтэлгүйтдэг:

  • VPC-д зориудын Cloud VPN холболтоор дамжуулан локал префикс рүү чиглэсэн зам.
  • Локал талд Cloud Run дэд сүлжээ рүү буцах зам.
  • Эх сурвалж, очих газар, портыг зөвшөөрөх галт хана болон IPsec хамгаалалтын хүрээ.

Дутуу зам нь ихэвчлэн алсын талд ямар ч нотолгоогүй хугацаа хэтэрсэн мэт харагдана. Буцах замын асуудал нь хүсэлт ирж, хариулт алга болсон мэт харагдана. Галт хана эсвэл селекторын асуудал төхөөрөмжөөс хамааран татгалзал эсвэл чимээгүй хасалт мэт харагдаж болно. Гурвын алинд нь байгаагаа олж мэдэх нь дараагийн командыг нэлээд нарийсгана.

Нэг түр Cloud Run хаягийг зөвшөөрөгдсөн жагсаалтад бүү оруулаарай. Дэд сүлжээний муж болон програмын онцлогт тохирсон зөвшөөрлийн загварыг ашиглана уу.

Хүсэлтэд үйлчилсэн хувилбарыг туршина уу

Туршихаас өмнө байршуулсан сүлжээний тохиргоо болон урсгалын хуваарилалтыг шалгана уу, учир нь шинэчлэлт шинэ хувилбар үүсгэх үед хүсэлтүүд хуучин хувилбарт хүрсээр байж болно. Дараа нь хэрэглэгчийн хүсэлт гүйцэтгэдэг үйлдлийг яг тэр хувилбараас гүйцэтгэнэ үү. Очих газар хувийн хостын нэр бол тухайн орчинд түүний шийдэгдэл болон үүссэн хаягийг шалгана уу, учир нь таны зөөврийн компьютерийн корпораци DNS-ийн хариулт үйлчилгээний нэрийн огторгуйн талаар юу ч батлахгүй. TLS хостын нэрийн шалгалт болон алсын програмын өөрийн баталгаажуулалтыг хадгална уу.

Direct VPC-ийн бичигдсэн эхлэлийн холболтын сааталыг хүлээж, хүйтэн эхлэл бүрийг эвдэрсэн туннель гэж оношлохын оронд харилцагчид бэлэн байдал эсвэл дахин оролдлогын стратеги өгөөрэй.

Буцаах болон энэ нь юу хийдэггүй вэ

Буцаахын тулд үйлчилгээний сүлжээ болон гаралтын тохиргоог өмнөх утгууд руу нь буцааж, өмнөх хувилбар урсгалд үйлчилсээр байгааг батална уу. gcloud командыг өөрчлөлтийн бүртгэлд хадгална уу, учир нь хэсэгчилсэн өөрчлөлтийн эсрэг үйлдэл зургаан долоо хоногийн дараа тодорхой биш. VPC холболтыг авах нь үйлчилгээг өмнөх гаралтын зам руу буцаадаг бөгөөд ослын үед энэ нь яг таны хүсэж байгаа зүйл байж болно.

Энэ загвар нь Cloud Run-аас эхэлдэг холболт болон тэдгээрийн хариултыг хамардаг. Энэ нь локал сүлжээнд үйлчилгээний дотор хаяглах боломжтой сокет өгдөггүй, учир нь дотогш илрэх нь ingress шийдвэр юм.

Холбоотой нийтлэлүүд