Cloud Run għal VPN lokali: konfigurazzjoni ta' ħruġ VPC dirett

Tunnel Cloud VPN ma jqiegħedx Cloud Run fuq in-netwerk. Qabbad is-servizz mas-subnet it-tajba, idderieġi l-firxa tas-sors tiegħu, imbagħad ittestja dik ir-reviżjoni.

It-tunnel qiegħed jaħdem, VM jasal għas-server lokali, u s-servizz Cloud Run jaqbeż il-ħin fuq l-istess host. Dan huwa l-punt tat-tluq normali għal dan ix-xogħol, u t-tunnel rari jkun il-problema. Reviżjoni Cloud Run ma toqgħodx fil-VPC tiegħek b'mod awtomatiku, u meta tagħmel, tuża l-indirizzi tas-sors tagħha stess minflok is-subnet tal-VM li diġà dderieġejt. Ir-runbook hawn taħt iqabbad is-servizz, jidderieġi l-firxa reali tas-sors tiegħu, u mbagħad jipprova t-triq mir-reviżjoni li serviet it-talba. Mexxiha f'dan l-ordni, għax li taqbeż l-ewwel pass huwa r-raġuni għaliex tant minn dawn il-każijiet jispiċċaw fi bidla fil-VPN li ma tiffissax xejn.

Qabbad ir-reviżjoni qabel ma tiddenbugga t-tunnel

Cloud Run jappoġġja ħruġ VPC dirett, li jqiegħed it-traffiku tas-servizz fuq subnet fil-VPC tiegħek mingħajr konnettur Serverless VPC Access. Għal servizz eżistenti l-aġġornament jidher hekk:

gcloud run services update SERVICE \
  --region=REGION --network=NETWORK --subnet=SUBNET \
  --vpc-egress=private-ranges-only

Issostitwixxi l-posta tal-post, irrivedi x'jagħmel id-deployment lit-traffiku ħaj, u agħżel subnet fir-reġjun tas-servizz b'kapaċità biżżejjed ta' indirizzi u l-permessi tan-netwerk it-tajbin.

Agħżel il-modalità tal-ħruġ li taqbel mad-destinazzjoni

private-ranges-only jibgħat id-destinazzjonijiet li jikklassifika bħala privati mill-VPC. Dan ma jfissirx «kull ħaġa li tista' tintlaħaq mill-VPN», u dak il-vojt jidher meta s-servizz lokali jkun f'firxa li l-konfigurazzjoni ma tikklassifikax hekk. Jekk id-destinazzjoni mhix koperta, all-traffic hija l-modalità dokumentata l-oħra, u tibgħat kollox mill-VPC, inklużi d-dipendenzi pubbliċi tas-servizz. Agħżel b'kuxjenza u ikteb il-konsegwenza fir-rekord tal-bidla.

Servizz li diġà juża konnettur jeħtieġ migrazzjoni mhux swiċċ, għalhekk ippjanaha minflok ma tikkonfigura t-tnejn.

Idderieġi s-sors ta' Cloud Run, mhux sors tal-VM

Ħruġ VPC dirett jalloka indirizzi temporanji mis-subnet magħżula, u n-naħa lokali trid tirritorna t-traffiku għal dik il-firxa. Rotta tar-ritorn jew permess tal-firewall miktuba għal subnet oħra tal-VM tidher tajba fid-dijagramma u tfalli fil-prattika. Ħu s-CIDR tas-subnet mill-VPC u mhux mill-memorja, imbagħad ikkonferma li l-ACL kriptografika jew it-tabella tar-rotot tal-apparat imbiegħed tinkludiha.

B'routing dinamiku, ivverifika x'qiegħed effettivament jirreklama Cloud Router u x'qiegħed jimporta l-VPC, inkluża kwalunkwe politika tar-reklamar personalizzata. Rotta li teżisti fil-console iżda mhix magħżula għal din id-destinazzjoni hija l-istess bħal ebda rotta.

Tliet kundizzjonijiet li jridu jseħħu kollha

Mogħdija li taħdem teħtieġ dan kollu li ġej, u kull waħda tfalli bil-mod tagħha:

  • Rotta fil-VPC lejn il-prefiss lokali permezz tal-konnessjoni Cloud VPN maħsuba.
  • Rotta inversa fuq il-post għas-subnet ta' Cloud Run.
  • Firxa ta' protezzjoni tal-firewall u IPsec li tippermetti s-sors, id-destinazzjoni u l-port.

Rotta neqsin normalment tidher bħala skadenza tal-ħin mingħajr ebda evidenza fuq in-naħa remota. Problema fir-rotta inversa tidher bħala talba li tasal u risposta li tisparixxi. Problema fil-firewall jew fis-selettur tista' tidher bħala rifjut jew bħala tlugħ sieket, skont l-apparat. Li nsib liema mit-tlieta għandek iddejjaq ħafna l-ordni li jmiss.

Tpoġġix indirizz wieħed temporanju ta' Cloud Run fil-lista tal-permessi. Uża l-firxa tas-subnet u disinn ta' awtorizzazzjoni li jaqbel mal-applikazzjoni.

Ittestja r-reviżjoni li serviet it-talba

Spezzjona l-konfigurazzjonijiet tan-netwerk skjerati u d-distribuzzjoni tat-traffiku qabel ma tittestja, għax aġġornament jista' joħloq reviżjoni ġdida waqt li t-talbiet għadhom jaslu għal waħda eqdem. Imbagħad wettaq l-istess operazzjoni li twettaq it-talba tal-utent, minn dik ir-reviżjoni. Jekk id-destinazzjoni hija isem tal-host privat, iċċekkja r-riżoluzzjoni tiegħu f'dak l-ambjent u l-indirizz li pproduċa, għax ir-risposta DNS korporattiva tal-laptop tiegħek ma tipprova xejn dwar in-namespace tas-servizz. Żomm il-verifika tal-isem tal-host TLS u l-awtentikazzjoni tal-applikazzjoni remota stess.

Stenna d-dewmien tal-konnessjoni tal-bidu ta' Direct VPC kif dokumentat, u agħti lill-klijent strateġija ta' tħejjija jew erġa' pprova minflok ma tiddijanjostika kull bidu kiesaħ bħala tunnel maqsum.

Irrollja lura u x'ma jagħmilx dan

Biex tirrollja lura, erġa' ġib il-konfigurazzjonijiet tan-netwerk u tal-ħruġ tas-servizz għall-valuri preċedenti tagħhom u kkonferma li r-reviżjoni preċedenti għadha sservi traffiku. Żomm il-kmand gcloud fir-rekord tal-bidla, għax il-maqlub ta' bidla parzjali mhuwiex ovvju sitt ġimgħat wara. It-tneħħija tal-kollegament tal-VPC iġġib is-servizz lura għat-triq tal-ħruġ preċedenti tiegħu, li tista' tkun eżattament dak li trid waqt inċident.

Dan id-disinn ikopri konnessjonijiet li Cloud Run jibda u r-risposti tagħhom. Ma jagħtix lin-netwerk lokali socket indirizzabbli ġewwa s-servizz, għax l-espożizzjoni 'l ġewwa hija deċiżjoni ta' ingress.

Artikli relatati