Il-VPN għall-VPC jaħdem, imma s-servizz immexxi jispiċċa l-ħin
It-tunnel jispiċċa fuq it-tarf tiegħek, mhux fuq il-bieb ta' quddiem tal-fornitur. Ikklassifika l-mira bħala ospitata fuq VM, imqabbda mal-VPC jew pubblika biss qabel ma tbiddel rotta.
Jilħaq bażi tad-dejta mmexxija permezz ta' VPN normalment ifalli għal raġuni li ħadd ma kiteb fil-runbook: it-tunnel jispiċċa fuq it-tarf tan-netwerk tiegħek, filwaqt li s-servizz qatt ma kien fuq naħa tiegħek minnu. It-tabella tar-rotot tidher korretta, it-tunnel jirrapporta li hu attiv, u l-konnessjoni xorta tispiċċa l-ħin. Mexxi l-erba' verifiki hawn taħt fl-ordni u waqaf fl-ewwel waħda li l-kundizzjoni ta' suċċess tagħha mhix sodisfatta, għax kull verifika wara tassumi li dawk ta' qabel għaddew.
Verifika waħda: fejn tassew tgħix il-punt tat-tmiem?
Gateway VPN jgħaqqad żewġ netwerks li inti tikkontrolla l-indirizzar tagħhom. Servizz immexxi jitħaddem wara l-bieb ta' quddiem stess tal-fornitur, u dak il-bieb jieħu waħda minn tliet forom skont il-prodott. Jekk ma tafx ma' liema forma għandek x'taqsam, l-ebda xogħol ta' rotot mhu se jgħin, għax il-ħsara tista' ma tkunx ħsara ta' rotta affattu.
| Shape | What it means | Pass condition |
|---|---|---|
| Software on your VM | Ordinary subnet addressing | Route and security group permit the client |
| Attached to your VPC | Private, but only inside that VPC | Endpoint associated, source allowed, route present |
| Provider-hosted, public endpoint | Optional private link, not private by default | A private endpoint exists and DNS points at it |
Il-biċċa l-kbira ta' waranofsinhar mitlufa jiġu mill-fatt li dan il-klassifikament jiġi mqabbeż u jmur dritt għat-tabella tar-rotot. Servizz ospitat mill-fornitur b'punt tat-tmiem pubbliku mhuwiex wara t-tunnel tiegħek x'jgħid id-dijagramma, u wieħed imqabbad mal-VPC qatt ma jidher fi tweġiba DNS pubblika.
Verifika tnejn: servizz imqabbad mal-VPC bħal ElastiCache
Caches ta' dak it-tip jiġu indirizzati ġewwa l-VPC tiegħek stess u m'għandhom l-ebda semmiegħ li jħares lejn l-internet. VPN tal-klijenti li jispiċċa fl-istess VPC jista' jilħaqhom, imma biss meta tliet kundizzjonijiet jaqblu flimkien. Il-punt tat-tmiem tal-cache irid ikun assoċjat ma' subnets li t-tunnel tiegħek jista' jara, il-grupp ta' sigurtà tiegħu irid jħalli l-indirizz li minnu jiġu l-klijenti tiegħek, u n-naħa tal-klijent teħtieġ rotta li tkopri s-subnets tal-cache.
L-iżball komuni hu li wieħed jassumi li konnessjoni xi mkien fil-qrib tgħodd. Li tqabbad il-VPN ma' VPC ieħor, jew li tiddependi biss fuq peering, ma jwessax il-grupp ta' sigurtà tal-cache jew it-tabella tar-rotot tas-subnet tiegħu għall-klijenti tiegħek. Meta t-tunnel eżistenti jispiċċa x'imkien ieħor, jump host jew server VPN imqiegħed ġewwa dak il-VPC huwa l-alternattiva tas-soltu. Dik l-alternattiva hija tidwira u mhux disinn, u għandha tiġi mmarkata hekk fil-runbook.
Verifika tlieta: punt tat-tmiem PaaS b'isem pubbliku
Azure Database for PostgreSQL jippreżenta isem tas-server pubbliku. Ma jagħtikx indirizz privat li tista' torbot f'fajl hosts u tgħaddih minn gateway. Il-punti tat-tmiem tas-servizz tan-netwerk virtwali jillimitaw liema subnets jistgħu jilħqu riżorsa; ma jawtorizzawx klijent lokali li jasal permezz ta' VPN.
Li tikseb aċċess privat ifisser li ddaħħal punt tat-tmiem privat jew disinn ta' rabta privata, imbagħad iżżid żona DNS privata sabiex l-isem pubbliku jwieġeb b'dak il-punt tat-tmiem minflok bl-internet. VPN flimkien ma' regola tal-punt tat-tmiem tas-servizz hija arkitettura oħra li tidher simili biss fi dijagramma. App Service isegwi l-istess loġika mid-direzzjoni l-oħra: l-integrazzjoni mal-VNet tippermetti lill-app tagħmel sejħiet ħerġin fil-VNet, u ma toħloqx mogħdija privata dieħla mit-tunnel tiegħek. Għalhekk l-aċċess privat dieħel jeħtieġ punt tat-tmiem privat, ambjent App Service jew gateway quddiem l-app, u liema minnhom tista' tuża jiddependi mill-pjan.
Verifika erbgħa: prodotti b'bibien ta' quddiem tagħhom
Firebase Hosting ma jistax jiġi mqabbad ma' Cloud VPN, għax is-saff tal-ospitar huwa quddiem globali u mhux xi ħaġa ġewwa l-VPC ta' proġett. L-alternattiva dokumentata hija li tibni l-punt tad-dħul ikkontrollat int stess, b'istanza proxy jew bilanċjatur tat-tagħbija sostnut minn barmil. B'xi mod, is-sit jieqaf milli jkun prodott pur tal-ospitar u jsir infrastruttura li issa tmexxi int. Dak il-bdil jistħoqqlu jissemma qabel ma xi ħadd iwiegħed li t-tunnel se jkoprih.
Private API Gateway jinsab eqreb lejn in-naħa tas-servizzi tal-VPC: punt tat-tmiem VPC tat-tip interface jippubbliċizza isem tal-host li t-tweġibiet tiegħu huma indirizzi privati, u t-traffiku mill-bini tiegħek jasal mit-tunnel jew minn interkonnessjoni dedikata. Il-punt tat-tmiem irid ikun assoċjat mal-API, u ċ-ċertifikat flimkien mal-isem tal-host iridu jaqblu mad-dominju personalizzat li jużaw min iċempel.
It-tunnels tal-Google Cloud VPN jorbtu ma' indirizzi IP ta' pari, mhux ma' ismijiet. Il-forwarding DNS huwa konfigurat separat, u għalhekk tunnel jista' jkun f'saħħtu sħiħ waqt li t-tfittxijiet fiż-żona privata mbiegħda għadhom ifallu.
Imbagħad illokalizza l-konfini
Mexxi l-istess konnessjoni minn VM ġewwa l-VPC. Meta tirnexxi hemm u tfalli mill-klijent VPN, id-distakk jinsab bejn il-mogħdija tal-klijent u l-punt tat-tmiem tas-servizz: rotta, grupp ta' sigurtà, politika tal-punt tat-tmiem jew isem. Meta ma jirnexxux iż-żewġ tentattivi, xejn f'dak in-netwerk ma jista' jilħaq is-servizz, u l-VPN qatt ma kien l-ostaklu.
getent hosts db.internal.example
nc -vz db.internal.example 5432Agħmel it-tfittxija tal-isem u l-verifika tal-port separatament, għax ifallu għal raġunijiet differenti u l-par jgħidlek liema nofs tal-mogħdija hija miksura. Isem li jiġi riżolt għal indirizz pubbliku jgħidlek li ż-żona DNS privata mhijiex fis-seħħ.