VPC руу VPN ажилладаг ч удирдлагын үйлчилгээ хугацаа хэтэрдэг
Туннель таны ирмэг дээр дуусдаг, нийлүүлэгчийн орох хаалган дээр биш. Маршрутыг өөрчлөхөөс өмнө зорилтыг VM дээр байршуулсан, VPC-тэй холбогдсон эсвэл зөвхөн нийтэд нээлттэй гэж ангилна уу.
VPN-ээр удирдлагын мэдээллийн санд хүрэх нь ихэвчлэн гарын авлагад хэн ч бичээгүй шалтгаанаар бүтэлгүйтдэг: туннель таны сүлжээний ирмэг дээр дуусдаг бол үйлчилгээ хэзээ ч түүний таны талд байгаагүй. Маршрутын хүснэгт зөв харагдаж, туннель идэвхтэй гэж мэдээлж, холболт гэсэн хэдий ч хугацаа хэтэрдэг. Доорх дөрвөн шалгалтыг дарааллаар гүйцэтгэж, амжилтын нөхцөл биелэхгүй эхний шалгалт дээр зогсо, учир нь дараагийн шалгалт бүр өмнөх нь давсан гэж үздэг.
Эхний шалгалт: төгсгөлийн цэг үнэхээр хаана амьдардаг вэ?
VPN гарц нь таны хянадаг хаяглалттай хоёр сүлжээг холбодог. Удирдлагын үйлчилгээ нь нийлүүлэгчийн өөрийн орох хаалганы ард ажилладаг бөгөөд тэр хаалга бүтээгдэхүүнээс хамаарч гурван хэлбэрийн нэгийг авдаг. Ямар хэлбэртэй харьцаж байгаагаа мэдэхгүй бол ямар ч маршрутын ажил тус болохгүй, учир нь гэмтэл маршрутын гэмтэл биш байж болно.
| Shape | What it means | Pass condition |
|---|---|---|
| Software on your VM | Ordinary subnet addressing | Route and security group permit the client |
| Attached to your VPC | Private, but only inside that VPC | Endpoint associated, source allowed, route present |
| Provider-hosted, public endpoint | Optional private link, not private by default | A private endpoint exists and DNS points at it |
Үрэгдсэн үдээс хойшхийн ихэнх нь энэ ангиллыг алгасаад шууд маршрутын хүснэгт рүү явахаас үүсдэг. Нийлүүлэгчид байршуулсан нийтэд нээлттэй төгсгөлийн цэг бүхий үйлчилгээ диаграм юу гэж хэлсэн ч таны туннелийн ард биш, харин VPC-тэй холбогдсон үйлчилгээ нийтэд нээлттэй DNS хариултад хэзээ ч гарч ирэхгүй.
Хоёр дахь шалгалт: ElastiCache зэрэг VPC-тэй холбогдсон үйлчилгээ
Ийм төрлийн кэш нь таны өөрийн VPC дотор хаяглагдаж, интернэт рүү харсан сонсогч огт байхгүй. Мөн VPC-д дуусдаг клиент VPN тэдэнд хүрч чадна, гэхдээ гурван нөхцөл зэрэг биелсэн үед л. Кэшийн төгсгөлийн цэг нь таны туннель харж чадах дэд сүлжээнүүдтэй холбогдсон байх ёстой, түүний аюулгүй байдлын бүлэг таны клиентүүд ирдэг хаягийг зөвшөөрөх ёстой, клиентийн талд кэшийн дэд сүлжээг хамарсан маршрут хэрэгтэй.
Нийтлэг алдаа нь ойролцоо хаа нэгтээ байгаа холболт ч тооцогдоно гэж үзэх юм. VPN-ийг өөр VPC-тэй холбох эсвэл зөвхөн peering-д найдах нь кэшийн аюулгүй байдлын бүлэг эсвэл түүний дэд сүлжээний маршрутын хүснэгтийг таны клиентүүд хүртэл өргөжүүлэхгүй. Одоогийн туннель өөр газар дуусвал тэр VPC дотор байрлуулсан үсрэх хост эсвэл VPN сервер нь ердийн нөөц шийдэл болдог. Ийм нөөц шийдэл нь дизайн биш харин тойрч гарах зам бөгөөд гарын авлагад тэгж тэмдэглэх ёстой.
Гурав дахь шалгалт: нийтэд нээлттэй нэртэй PaaS төгсгөлийн цэг
Azure Database for PostgreSQL нь нийтэд нээлттэй серверийн нэрийг танилцуулдаг. Энэ нь hosts файлд бэхлээд гарцаар маршрутлах боломжтой хувийн хаягийг өгдөггүй. Виртуал сүлжээний үйлчилгээний төгсгөлийн цэгүүд аль дэд сүлжээ нөөцөд хүрч болохыг хязгаарладаг; тэд VPN-ээр ирсэн локал клиентийг зөвшөөрдөггүй.
Хувийн хандалт авах гэдэг нь хувийн төгсгөлийн цэг эсвэл хувийн холболтын дизайн нэвтрүүлж, дараа нь нийтэд нээлттэй нэр интернэтийн оронд тэр цэгээр хариулахын тулд хувийн DNS бүс нэмэх явдал юм. VPN-ийг үйлчилгээний төгсгөлийн цэгийн дүрэмтэй хослуулах нь зөвхөн диаграм дээр ижил харагдах өөр архитектур юм. App Service ижил логикийг эсрэг чиглэлээс баримталдаг: VNet интеграци нь апп-д VNet рүү гарч буй дуудлага хийх боломж олгодог бөгөөд таны туннелиас орж ирэх хувийн зам үүсгэдэггүй. Тиймээс орж ирэх хувийн хандалтад хувийн төгсгөлийн цэг, App Service орчин эсвэл апп-ын өмнө байрлуулсан гарц хэрэгтэй бөгөөд аль нь танд боломжтой нь багцаас хамаарна.
Дөрөв дэх шалгалт: өөрийн орох хаалгатай бүтээгдэхүүнүүд
Firebase Hosting-ыг Cloud VPN-тэй холбох боломжгүй, учир нь байршуулалтын давхарга нь дэлхийн урд тал бөгөөд төслийн VPC доторх зүйл биш. Баримтжуулсан хувилбар нь хяналттай нэвтрэх цэгийг өөрөө барих, прокси инстанц эсвэл хувингад тулгуурласан ачааллын тэнцвэржүүлэгчтэй. Ямар ч байсан сайт цэвэр байршуулалтын бүтээгдэхүүн байхаа болиод одоо таны ажиллуулж буй дэд бүтэц болно. Туннель үүнийг хамарна гэж хэн нэгэн амлахын өмнө энэ солилцоог нэрлэх нь зүйтэй.
Private API Gateway нь VPC үйлчилгээний талд илүү ойр байдаг: interface төрлийн VPC төгсгөлийн цэг нь хариултууд нь хувийн хаягууд болох хостын нэрийг нийтэлдэг бөгөөд таны байрнаас ирэх урсгал туннель эсвэл тусгайлан холбосон шугамаар ирдэг. Төгсгөлийн цэг нь API-тай холбогдсон байх ёстой, гэрчилгээ болон хостын нэр нь дуудагчдын ашигладаг өөрсдийн домэйнтой тохирох ёстой.
Google Cloud VPN туннель нь нэр биш, түншийн IP хаягтай холбогддог. DNS дамжуулалт нь тусдаа тохируулагддаг тул туннель бүрэн эрүүл байхад алслагдсан хувийн бүс дэх хайлт бүтэлгүйтсээр байж болно.
Дараа нь хил хязгаарыг ол
VPC доторх VM-ээс ижил холболтыг ажиллуул. Тэнд амжилттай болж VPN клиентээс бүтэлгүйтвэл зөрүү нь клиентийн зам ба үйлчилгээний төгсгөлийн цэгийн хооронд байна: маршрут, аюулгүй байдлын бүлэг, төгсгөлийн цэгийн бодлого эсвэл нэр. Хоёр оролдлого бүгд бүтэлгүйтвэл тэр сүлжээнд юу ч үйлчилгээнд хүрч чадахгүй бөгөөд VPN хэзээ ч саад болж байгаагүй.
getent hosts db.internal.example
nc -vz db.internal.example 5432Нэрийн хайлт ба портын шалгалтыг тус тусад нь хий, учир нь тэд өөр шалтгаанаар бүтэлгүйтдэг бөгөөд энэ хос нь замын аль хагас эвдэрснийг хэлж өгнө. Нийтэд нээлттэй хаяг руу шийдэгдэх нэр нь хувийн DNS бүс ажиллахгүй байна гэдгийг хэлж өгнө.