Cloud Run बाट अन-प्रिमाइसेस VPN: Direct VPC egress सेटअप

Cloud VPN टनेलले Cloud Run लाई नेटवर्कमा राख्दैन। सेवालाई सही सबनेटमा जोड्नुहोस्, यसको स्रोत दायरा रुट गर्नुहोस्, त्यसपछि त्यो रिभिजन परीक्षण गर्नुहोस्।

टनेल चालु छ, एउटा VM अन-प्रिमाइसेस सर्भरसम्म पुग्छ, तर Cloud Run सेवा त्यही होस्टमा समय सकिएर बन्द हुन्छ। यो यस कामको सामान्य सुरुवात बिन्दु हो, र टनेल नै गलत हुन्छ भन्ने विरलै हुन्छ। Cloud Run रिभिजन पूर्वनिर्धारित रूपमा तपाईंको VPC मा बस्दैन, र बसेपछि यसले तपाईंले पहिले नै रुट गरेको VM सबनेटको सट्टा आफ्नै स्रोत ठेगानाहरू प्रयोग गर्छ। तलको रनबुकले सेवा जोड्छ, यसको वास्तविक स्रोत दायरा रुट गर्छ, र त्यसपछि अनुरोधलाई सेवा गरेको रिभिजनबाट बाटो प्रमाणित गर्छ। यसलाई त्यही क्रममा चलाउनुहोस्, किनभने पहिलो चरण छोड्नु नै यस्ता धेरै घटना केही पनि सुधार नगर्ने VPN परिवर्तनमा टुंगिनुको कारण हो।

टनेल डिबग गर्नु अघि रिभिजन जोड्नुहोस्

Cloud Run ले समर्थन गर्छ Direct VPC egress, जसले Serverless VPC Access कनेक्टर बिना सेवाको ट्राफिक तपाईंको VPC को सबनेटमा राख्छ। अवस्थित सेवाको लागि अद्यावधिक यस्तो देखिन्छ:

gcloud run services update SERVICE \
  --region=REGION --network=NETWORK --subnet=SUBNET \
  --vpc-egress=private-ranges-only

प्लेसहोल्डरहरू बदल्नुहोस्, डिप्लोयमेन्टले प्रत्यक्ष ट्राफिकमा के गर्छ समीक्षा गर्नुहोस्, र सेवाको क्षेत्रमा पर्याप्त ठेगाना क्षमता र सही नेटवर्क अनुमतिहरू भएको सबनेट छान्नुहोस्।

गन्तव्यसँग मिल्ने egress मोड छान्नुहोस्

private-ranges-only ले निजी भनी वर्गीकृत गर्ने गन्तव्यहरू VPC मार्फत पठाउँछ। यसको अर्थ «VPN मार्फत पुग्न सकिने सबै» होइन, र सेटिङले त्यसरी वर्गीकृत नगर्ने दायरामा अन-प्रिमाइसेस सेवा हुँदा त्यो अन्तर देखिन्छ। यदि गन्तव्य समेटिएको छैन भने, all-traffic अर्को कागजात गरिएको मोड हो, र यसले सेवाको सार्वजनिक निर्भरताहरू सहित सबै कुरा VPC मार्फत पठाउँछ। सचेत रूपमा छान्नुहोस् र परिणाम परिवर्तन रेकर्डमा लेख्नुहोस्।

पहिले नै कनेक्टर प्रयोग गर्ने सेवालाई टगल होइन, माइग्रेसन चाहिन्छ, त्यसैले दुवै कन्फिगर गर्नुको सट्टा यसको योजना बनाउनुहोस्।

VM स्रोत होइन, Cloud Run स्रोत रुट गर्नुहोस्

Direct VPC egress ले छानिएको सबनेटबाट अस्थायी ठेगानाहरू बाँडफाँट गर्छ, र अन-प्रिमाइसेस पक्षले ट्राफिक त्यो दायरामा फर्काउनुपर्छ। अर्को VM सबनेटको लागि लेखिएको फिर्ती मार्ग वा फायरवाल अनुमतिले रेखाचित्रमा सही देखिन्छ र व्यवहारमा असफल हुन्छ। सबनेट CIDR सम्झनाबाट होइन, VPC बाट लिनुहोस्, त्यसपछि टाढाको उपकरणको क्रिप्टो ACL वा रुट तालिकामा यो समावेश छ भनी पुष्टि गर्नुहोस्।

गतिशील राउटिङसँग, Cloud Router ले वास्तवमा के घोषणा गर्छ र VPC ले के आयात गर्छ, कुनै पनि अनुकूलित घोषणा नीतिसहित जाँच्नुहोस्। कन्सोलमा भए पनि यो गन्तव्यको लागि नछानिएको मार्ग मार्ग नभएसरह हो।

सबै पूरा हुनुपर्ने तीन सर्तहरू

काम गर्ने मार्गलाई तलका सबै चाहिन्छ, र प्रत्येक आफ्नै तरिकाले असफल हुन्छ:

  • VPC मा इच्छित Cloud VPN जडानमार्फत अन-प्रिमाइसेस प्रिफिक्सतर्फ मार्ग।
  • Cloud Run सबनेटका लागि अन-प्रिमाइसेस पक्षमा उल्टो मार्ग।
  • स्रोत, गन्तव्य र पोर्टलाई अनुमति दिने फायरवाल र IPsec सुरक्षा दायरा।

हराएको मार्ग सामान्यतया टाढाको पक्षमा कुनै प्रमाण बिना समय सकिएको जस्तो देखिन्छ। उल्टो मार्गको समस्या अनुरोध आएर जवाफ हराएको जस्तो देखिन्छ। फायरवाल वा सिलेक्टरको समस्या उपकरणअनुसार अस्वीकार वा शान्त खसालाइ जस्तो देखिन सक्छ। तीनमध्ये कुन तपाईंसँग छ भनी पत्ता लगाउनुले अर्को आदेशलाई धेरै सीमित गर्छ।

एउटै अस्थायी Cloud Run ठेगाना अनुमत सूचीमा नराख्नुहोस्। सबनेट दायरा र अनुप्रयोगसँग मिल्ने अधिकार डिजाइन प्रयोग गर्नुहोस्।

अनुरोधलाई सेवा गरेको रिभिजन परीक्षण गर्नुहोस्

परीक्षण गर्नु अघि तैनाथ नेटवर्क सेटिङ र ट्राफिक बाँडफाँट जाँच्नुहोस्, किनभने अद्यावधिकले नयाँ रिभिजन बनाउन सक्छ जबकि अनुरोधहरू अझै पुरानोमा पुग्छन्। त्यसपछि प्रयोगकर्ताको अनुरोधले गर्ने काम नै त्यही रिभिजनबाट गर्नुहोस्। यदि गन्तव्य निजी होस्टनाम हो भने, त्यो वातावरणमा यसको समाधान र यसले बनाएको ठेगाना जाँच्नुहोस्, किनभने तपाईंको ल्यापटपको कर्पोरेट DNS जवाफले सेवाको नामस्थानबारे केही पनि प्रमाणित गर्दैन। TLS होस्टनाम प्रमाणीकरण र टाढाको अनुप्रयोगको आफ्नै प्रमाणीकरण कायम राख्नुहोस्।

Direct VPC को कागजात गरिएको सुरुवाती जडान ढिलाइको अपेक्षा गर्नुहोस्, र प्रत्येक चिसो सुरुवातलाई भाँचिएको टनेल भनेर निदान गर्नुको सट्टा ग्राहकलाई तयारी वा पुनः प्रयास रणनीति दिनुहोस्।

रोलब्याक र यसले के गर्दैन

रोलब्याक गर्न, सेवाको नेटवर्क र egress सेटिङहरू तिनीहरूको अघिल्लो मानमा फर्काउनुहोस् र अघिल्लो रिभिजनले अझै ट्राफिकलाई सेवा गरिरहेको पुष्टि गर्नुहोस्। परिवर्तन रेकर्डमा gcloud आदेश राख्नुहोस्, किनभने आंशिक परिवर्तनको उल्टो छ हप्तापछि स्पष्ट हुँदैन। VPC जडान हटाउँदा सेवा आफ्नो अघिल्लो egress मार्गमा फर्किन्छ, जुन घटनाको समयमा तपाईंले चाहेको ठ्याक्कै त्यही हुन सक्छ।

यो डिजाइनले Cloud Run ले सुरु गर्ने जडान र तिनका जवाफ समेट्छ। यसले अन-प्रिमाइसेस नेटवर्कलाई सेवाभित्र ठेगानायोग्य सकेट दिँदैन, किनभने भित्री खुलासा ingress निर्णय हो।

सम्बन्धित लेखहरू