Cloud Run ke VPN tempatan: persediaan keluar VPC langsung

Tunnel berjalan, VM sampai ke pelayan tempatan, tetapi perkhidmatan Cloud Run tamat masa pada hos yang sama. Itulah titik permulaan biasa untuk tugasan ini, dan tunnel jarang menjadi punca. Semakan Cloud Run tidak berada dalam VPC anda secara lalai, dan apabila ia berada, ia menggunakan alamat sumbernya sendiri dan bukan subnet VM yang sudah anda halakan. Runbook di bawah menyambungkan perkhidmatan, menghalakan julat sumber sebenarnya, kemudian membuktikan laluan daripada semakan yang melayan permintaan. Jalankannya dalam urutan itu, kerana melangkau langkah pertama ialah sebab begitu banyak kes ini berakhir dengan perubahan VPN yang tidak membetulkan apa-apa.

Sambungkan semakan sebelum menyahpepijat tunnel

Cloud Run menyokong keluar VPC langsung, yang meletakkan trafik perkhidmatan pada subnet dalam VPC anda tanpa penyambung Serverless VPC Access. Untuk perkhidmatan sedia ada, kemas kini kelihatan seperti ini:

gcloud run services update SERVICE \
  --region=REGION --network=NETWORK --subnet=SUBNET \
  --vpc-egress=private-ranges-only

Gantikan pemegang tempat, semak apa yang dilakukan penggunaan kepada trafik langsung, dan pilih subnet di rantau perkhidmatan dengan kapasiti alamat yang mencukupi dan kebenaran rangkaian yang betul.

Pilih mod keluar yang sepadan dengan destinasi

private-ranges-only menghantar destinasi yang dikelaskannya sebagai peribadi melalui VPC. Ia tidak bermaksud «apa sahaja yang boleh dicapai melalui VPN», dan jurang itu muncul apabila perkhidmatan tempatan berada dalam julat yang tidak dikelaskan sedemikian oleh tetapan. Jika destinasi tidak dilindungi, all-traffic ialah mod berdokumen yang lain, dan ia menghantar semuanya melalui VPC, termasuk kebergantungan awam perkhidmatan. Pilih dengan sedar dan tulis akibatnya dalam rekod perubahan.

Perkhidmatan yang sudah menggunakan penyambung memerlukan migrasi, bukan suis, jadi rancangkannya dan bukannya mengkonfigurasi kedua-duanya.

Halakan sumber Cloud Run, bukan sumber VM

Keluar VPC langsung memperuntukkan alamat sementara daripada subnet yang dipilih, dan pihak tempatan mesti memulangkan trafik ke julat itu. Laluan balik atau kebenaran firewall yang ditulis untuk subnet VM lain akan kelihatan betul dalam rajah dan gagal dalam amalan. Ambil CIDR subnet daripada VPC dan bukan daripada ingatan, kemudian sahkan bahawa ACL kripto atau jadual laluan peranti jauh memasukkannya.

Dengan penghalakan dinamik, sahkan apa yang sebenarnya diiklankan Cloud Router dan apa yang diimport VPC, termasuk mana-mana dasar pengiklanan tersuai. Laluan yang wujud dalam konsol tetapi tidak dipilih untuk destinasi ini sama seperti tiada laluan.

Tiga syarat yang semuanya mesti dipenuhi

Laluan yang berfungsi memerlukan semua yang berikut, dan setiap satu gagal dengan caranya sendiri:

• Laluan dalam VPC menuju awalan tempatan melalui sambungan Cloud VPN yang dimaksudkan.
• Laluan balik di pihak tempatan untuk subnet Cloud Run.
• Skop perlindungan firewall dan IPsec yang membenarkan sumber, destinasi dan port.

Laluan yang hilang biasanya kelihatan seperti tamat masa tanpa bukti di pihak jauh. Masalah laluan balik kelihatan seperti permintaan yang tiba dan balasan yang hilang. Masalah firewall atau pemilih boleh kelihatan seperti penolakan atau penurunan senyap, bergantung pada peranti. Menentukan yang mana satu daripada tiga itu ada pada anda menyempitkan arahan seterusnya dengan banyak.

Jangan masukkan satu alamat Cloud Run sementara ke dalam senarai dibenarkan. Gunakan julat subnet dan reka bentuk kebenaran yang sesuai dengan aplikasi.

Uji semakan yang melayan permintaan

Periksa tetapan rangkaian yang digunakan dan pembahagian trafik sebelum menguji, kerana kemas kini boleh mencipta semakan baharu sementara permintaan masih sampai ke semakan lama. Kemudian lakukan operasi yang sama seperti yang dilakukan oleh permintaan pengguna, daripada semakan itu. Jika destinasi ialah nama hos peribadi, semak penyelesaiannya dalam persekitaran itu dan alamat yang dihasilkannya, kerana jawapan DNS korporat komputer riba anda tidak membuktikan apa-apa tentang ruang nama perkhidmatan. Kekalkan pengesahan nama hos TLS dan pengesahan aplikasi jauh itu sendiri.

Jangkakan kelewatan sambungan permulaan Direct VPC yang didokumenkan, dan beri pelanggan strategi kesediaan atau cuba semula dan bukannya mendiagnosis setiap permulaan sejuk sebagai tunnel rosak.

Gulung balik dan apa yang tidak dilakukan ini

Untuk bergulung balik, kembalikan tetapan rangkaian dan keluar perkhidmatan kepada nilai sebelumnya dan sahkan semakan terdahulu masih melayan trafik. Simpan arahan gcloud dalam rekod perubahan, kerana kebalikan perubahan separa tidak jelas enam minggu kemudian. Mengalihkan lampiran VPC memulangkan perkhidmatan ke laluan keluar sebelumnya, yang mungkin tepat apa yang anda mahu semasa insiden.

Reka bentuk ini meliputi sambungan yang dimulakan Cloud Run dan balasannya. Ia tidak memberikan rangkaian tempatan soket boleh alamat di dalam perkhidmatan, kerana pendedahan masuk ialah keputusan ingress.