API ta’ Google fuq VPN: irrutta l-VIP, mhux biss is-subnet
Rotta lejn subnet tal-VPC ma tagħżilx l-indirizzi VIP tal-API. Issolvi l-ismijiet it-tajba, ħabbar il-prefiss VIP, żomm il-mogħdija lura fil-VPC, u mbagħad ipprova HTTPS.
Idħol fis-server lokali b’SSH, għolli t-tunnel, u l-VM privata twieġeb; imbagħad l-ewwel sejħa lill-API ta’ Google tfalli mingħajr rotta. Is-subnet tal-VM u l-indirizzi VIP tal-API huma destinazzjonijiet differenti, għalhekk rotta għal waħda ma tagħżilx l-oħra. Tliet kundizzjonijiet iridu jkunu veri qabel sejħa privata tal-API tista’ taħdem. L-isem tal-API jrid jiġi solvut f’VIP, il-prefiss VIP irid jiġi mħabbar mit-tunnel, u l-VPC trid tkun taf kif tibgħat it-tweġiba lura. Ping ma jgħidlek xejn minn dan, u lanqas sessjoni SSH li taħdem lejn magna fis-subnet.
L-indirizzi VIP tal-API huma destinazzjonijiet separati
Google tippubblika VIPs dedikati għall-aċċess għall-API min-netwerk lokali, u dawk huma l-indirizzi li d-DNS tiegħek irid jirritorna għall-ismijiet tal-API. It-tnejn huma prefissi żgħar u ħadd minnhom mhu spazju RFC 1918:
| Record | Resolves to | What it does not give you |
|---|---|---|
| private.googleapis.com | 199.36.153.8/30, the general front door for Google APIs | not a bypass around a service perimeter |
| restricted.googleapis.com | 199.36.153.4/30, reachable only for services a perimeter allows | not the whole API surface, so some names stay out of reach |
Indirizzi li jidhru pubbliċi ma jfissrux li r-rotta għandha titlaq mit-tunnel għall-internet ordinarju. Il-prefissi jeżistu sabiex klijent lokali jasal għall-frontends ta’ Google permezz ta’ mogħdija appoġġata minflok punt tal-ħruġ arbitrarju. Ittrattahom bħala destinazzjonijiet li jappartjenu lit-tunnel, mhux bħala hosts x’tħares lejhom. Regola tal-firewall miktuba għall-ħruġ tal-internet normalment tarmihom, u dan huwa raġuni komuni għaliex sejħa tfalli qabel ma tibda.
Id-DNS jiddeċiedi liema endpoint tasal
Idderieġi r-resolver lokali lejn ir-rekords li Google tiddokumenta għall-endpoint magħżul, sabiex l-ismijiet li għandha bżonn l-applikazzjoni jwieġbu b’dik il-VIP. Sempliċement googleapis.com mhuwiex inventarju: ir-reġistri tal-pakketti, ir-reġistri tal-kontenituri u l-konnetturi tal-migrazzjoni għandhom l-ismijiet iddokumentati tagħhom. Il-VIP ristretta lanqas iġġorr kull servizz, għalhekk isem li jiġi solvut jista’ jibqa’ mhux appoġġat. Ikteb id-dominji li l-applikazzjoni tassew tikkuntattja qabel ma tmiss ir-resolver.
Li taqta’ indirizz tal-VM fil-VPC minflok isem ta’ servizz mhix tiswija, u normalment taħbi l-vojt fid-DNS sakemm ifalli klijent ieħor.
Ħabbar il-prefiss VIP, żomm il-bqija
B’konnessjoni bbażata fuq BGP, il-Cloud Router irid iħabbar il-prefiss VIP magħżul sabiex ir-router lokali jitgħallem dak il-firxa permezz tas-sessjoni maħsuba. Li ħabbar is-subnets tal-VPC biss ma jżidx dik il-firxa, u r-router lokali jibqa’ juża l-mogħdija awtomatika tiegħu għal dawk l-indirizzi. Il-prefiss fit-tabella tar-routing huwa l-unika prova li l-avviż qasam is-sessjoni.
Żomm l-avviżi eżistenti waqt li żżid il-ġdid, għax l-għażliet fil-livell tar-router u fil-livell tal-peer għandhom firxa differenti, u t-tibdil tas-sett jista’ jirtira netwerks li kienu jaħdmu. Imbagħad iċċekkja l-avviż effettiv fuq kull sessjoni u mhux fuq ir-router kollu. Prefiss nieqes u prefiss irtirat jidhru l-istess mil-lat lokali, għalhekk id-dehra tas-sessjoni hija dik li tifred tħollija minn rigressjoni.
In-naħa tal-VPC teħtieġ rotta u mogħdija lura tagħha stess
Fil-VPC, il-mogħdija tal-VIP trid tuża l-gateway tal-internet awtomatiku bħala l-hop li jmiss, u minkejja l-isem dak it-traffiku jibqa’ fin-netwerk ta’ Google. Il-VPC teħtieġ ukoll rotta lura lejn is-sors lokali permezz tal-VPN, u dan huwa oġġett separat mill-prefiss imħabbar. Qis ir-rekwiżiti reġjonali tar-routing iddokumentati meta t-tunnel u l-klijent ma jkunux fl-istess reġjun.
Iċċekkja l-mogħdija lura b’mod indipendenti, għax direzzjoni tat-talba li taħdem tista’ taħbi direzzjoni tat-tweġiba miksura. Żewġ direzzjonijiet, żewġ rotot, u kull waħda tfalli bis-sintomu tagħha.
Ipprova t-talba, imbagħad aqra ċ-ċaħda
L-eko ICMP ma jirċevix tweġiba minn dawn il-VIPs, għalhekk ping fallut ma jipprovax xejn u dak li jirnexxi jipprova ftit ħafna. Mill-klijent veru, eżamina t-tweġiba tal-isem u r-rotta magħżula, imbagħad għamel talba HTTPS awtorizzata lis-servizz li jinteressak. Jekk it-talba tasal għas-servizz u tiġi miċħuda, ħares lejn il-kredenzjali, l-IAM u kwalunkwe politika tal-perimetru tas-servizz li tapplika.
Ir-routing privat ma jagħtix awtorizzazzjoni tal-API u ma jbiddilx x’jista’ jagħmel l-identità. Is-suċċess tat-trasport u tweġiba awtorizzata huma riżultati separati, u għandek bżonn it-tnejn. Żomm il-mogħdija IPv6 espliċita wkoll, għax il-konfigurazzjoni tal-prefissi IPv4 ma tgħid xejn dwar klijent li jippreferi IPv6.
Il-gwida ta’ Google dwar Private Google Access min-netwerk lokali tkopri flimkien ir-rekords tad-DNS u r-rekwiżiti tar-routing, għalhekk qabbel is-settings tar-resolver u tal-avviż tiegħek magħha u mhux ma’ post fuq forum. Imbagħad erġa’ ġġenera l-istess talba u noti t-tweġiba u r-rotta fl-istess ticket.