VPN-ээр Google API: зөвхөн дэд сүлжээ биш, VIP-г чиглүүл
VPC дэд сүлжээ рүү хийх зам нь API-н VIP хаягуудыг сонгодоггүй. Зөв нэрсийг шийдэж, VIP угтварыг зарлаж, VPC-ийн буцах замыг хадгал, дараа нь HTTPS-ийг шалга.
SSH-ээр локал серверт нэвтэрч, туннелийг өргөхөд хувийн VM хариулна; дараа нь Google API руу хийх эхний дуудлага замгүйгээр бүтэлгүйтнэ. VM-ийн дэд сүлжээ ба API-н VIP хаягууд нь өөр өөр очих газар тул нэгний зам нөгөөг сонгохгүй. Хувийн API дуудлага ажиллахын тулд гурван нөхцөл биелэх ёстой. API-н нэр VIP болж шийдэгдэх ёстой, VIP угтвар туннелээр зарлагдах ёстой, VPC нь хариуг хэрхэн буцаахыг мэдэх ёстой. Ping үүнийг огт хэлэхгүй, дэд сүлжээн дэх машин руу ажиллаж байгаа SSH сесс ч хэлэхгүй.
API-н VIP хаягууд нь тусдаа очих газрууд
Google локал сүлжээнээс API-д хандах зориулалтын VIP хаягуудыг нийтэлдэг бөгөөд API нэрсийн хувьд таны DNS яг тэдгээр хаягийг буцаах ёстой. Хоёулаа жижиг угтвар бөгөөд аль нь ч RFC 1918 орон зай биш:
| Record | Resolves to | What it does not give you |
|---|---|---|
| private.googleapis.com | 199.36.153.8/30, the general front door for Google APIs | not a bypass around a service perimeter |
| restricted.googleapis.com | 199.36.153.4/30, reachable only for services a perimeter allows | not the whole API surface, so some names stay out of reach |
Нийтийн мэт харагдах хаягууд нь зам туннелээс гарах ёстой гэсэн үг биш энгийн интернэтэд зориулагдсан. Угтварууд нь локал клиент санамсаргүй гарах цэгийн оронд дэмжигдсэн замаар Google-ийн урд хэсгүүдэд хүрэх боломжтой болгохын тулд байдаг. Тэднийг туннелд хамаарах очих газар гэж үз, шалгах хост гэж биш. Интернэт гарах замд зориулж бичсэн галт ханын дүрэм тэднийг ихэвчлэн хаядаг бөгөөд энэ нь дуудлага эхлэхээс өмнө бүтэлгүйтдэг нийтлэг шалтгаан юм.
Аль төгсгөлийн цэгт хүрэхийг DNS шийднэ
Сонгосон төгсгөлийн цэгийн хувьд Google-ийн баримтжуулсан бичлэгүүд рүү локал шийдвэрлэгчийг чиглүүл, ингэснээр апп-д хэрэгтэй нэрс тэр VIP-ээр хариулна. Зөвхөн googleapis.com гэдэг нь бүртгэл биш: багц бүртгэл, контейнер бүртгэл, шилжүүлэлтийн холбогч нар өөрийн баримтжуулсан нэртэй. Хязгаарлагдмал VIP ч бүх үйлчилгээг дамжуулдаггүй тул шийдэгдсэн нэр дэмжигдэхгүй хэвээр байж болно. Шийдвэрлэгчид хүрэхээс өмнө апп-ийн үнэхээр холбогддог домайнуудыг бичиж аваарай.
Үйлчилгээний нэрийн оронд VPC VM хаягийг таамаглах нь засвар биш бөгөөд ихэвчлэн DNS-ийн цоорхойг өөр клиент бүтэлгүйтэх хүртэл нуудаг.
VIP угтварыг зарла, үлдсэнийг хадгал
BGP-д суурилсан холболтод Cloud Router сонгосон VIP угтварыг зарлах ёстой бөгөөд ингэснээр локал чиглүүлэгч тэр хүрээг зориулсан сессээр сурна. Зөвхөн VPC дэд сүлжээнүүдийг зарлахад тэр хүрээ нэмэгдэхгүй бөгөөд локал чиглүүлэгч тэдгээр хаягт өөрийн өгөгдмөл замыг үргэлжлүүлэн ашиглана. Чиглүүлэлтийн хүснэгт дэх угтвар нь зарлал сессийг дамжсаны цорын ганц баримт.
Шинийг нэмэхдээ одоо байгаа зарлалуудыг хадгал, учир нь чиглүүлэгчийн түвшин ба пээрийн түвшний сонголтуудын хамрах хүрээ өөр бөгөөд багцыг солих нь аль хэдийн ажиллаж байсан сүлжээг буцаан татаж болно. Дараа нь бүх чиглүүлэгч дээр бус, сесс бүр дээр үр дүнтэй зарлалыг шалга. Дутуу угтвар ба буцаан татсан угтвар локал талаас ижил харагддаг тул сессийн харагдац нь алгаслыг регрессээс ялгадаг.
VPC тал өөрийн зам ба буцах зам хэрэгтэй
VPC дотор VIP-ийн зам дараагийн хопоор өгөгдмөл интернэт гарцыг ашиглах ёстой бөгөөд нэрнээс үл хамааран тэр трафик Google-ийн сүлжээнд үлддэг. VPC-д VPN-ээр локал эх рүү буцах зам ч хэрэгтэй бөгөөд энэ нь зарлагдсан угтвараас тусдаа объект юм. Туннел ба клиент нэг бүсэд байхгүй үед баримтжуулсан бүсийн чиглүүлэлтийн шаардлагыг харгалз.
Буцах замыг бие даан шалга, учир нь ажиллаж байгаа хүсэлтийн чиглэл эвдэрсэн хариуны чиглэлийг нууж болно. Хоёр чиглэл, хоёр зам, тус бүр өөрийн шинж тэмдгээр бүтэлгүйтдэг.
Хүсэлтийг туршаад, дараа нь татгалзлыг унш
ICMP цуурай эдгээр VIP-ээс хариу авдаггүй тул бүтэлгүй ping юу ч батлахгүй, амжилттай нь маш бага батална. Бодит клиентээс нэрний хариу ба сонгосон замыг шалгаад, дараа нь танд чухал үйлчилгээ рүү зөвшөөрөгдсөн HTTPS хүсэлт илгээ. Хүсэлт үйлчилгээнд хүрч татгалзагдвал итгэмжлэл, IAM болон хамаарах үйлчилгээний периметрийн бодлогыг хар.
Хувийн чиглүүлэлт API-н зөвшөөрөл өгөхгүй бөгөөд таних тэмдэг юу хийхийг зөвшөөрөгдөхийг өөрчлөхгүй. Дамжуулалтын амжилт ба зөвшөөрөгдсөн хариу нь тусдаа үр дүн бөгөөд хоёулаа хэрэгтэй. IPv6 замыг ч тодорхой байлга, учир нь IPv4 угтварыг тохируулах нь IPv6-г илүүд үздэг клиентийн талаар юу ч хэлэхгүй.
Google-ийн локал сүлжээнээс Private Google Access-ийн гарын авлага DNS бичлэг ба чиглүүлэлтийн шаардлагыг хамт хамардаг тул шийдвэрлэгч ба зарлалын тохиргоог форумын нийтлэлтэй бус, үүнтэй харьцуул. Дараа нь мөнөөх хүсэлтийг дахин ажиллуулж, хариу ба замыг нэг тасалбар дээр тэмдэглэ.