د VPN له لارې Google API: مسیر VIP ته ورکړئ، نه یوازې subnet ته
VPC subnet ته مسیر د API د VIP پتو غوره نه کوي. سم نومونه حل کړئ، د VIP مخکښه اعلان کړئ، په VPC کې د بېرته راتلو لاره وساتئ، بیا HTTPS وآزمویئ.
د SSH له لارې محلي سرور ته ننوځئ، ټونل پورته کړئ او شخصي VM ځواب ورکوي؛ بیا Google API ته لومړی غوښتنه پرته له مسیر ناکامه شي. د VM subnet او د API VIP پتې جلا منزلونه دي، نو د یو لپاره مسیر بل نه غوره کوي. درې شرطونه باید پوره شي تر څو شخصي API غوښتنه کار وکړي. د API نوم باید VIP ته حل شي، د VIP مخکښه باید د ټونل له لارې اعلان شي، او VPC باید پوه شي چې ځواب څنګه بېرته واستوي. Ping د دې په اړه هیڅ نه وایي، او په subnet کې ماشین ته کار کوونکې SSH ناسته هم نه وایي.
د API VIP پتې جلا منزلونه دي
Google د محلي شبکې څخه API ته د لاسرسي لپاره ځانګړې VIP پتې خپروي، او هماغه پتې دي چې ستاسو DNS باید د API نومونو لپاره بېرته راوګرځوي. دواړه کوچنۍ مخکښې دي او هیڅ یوه هم RFC 1918 فضا نه ده:
| Record | Resolves to | What it does not give you |
|---|---|---|
| private.googleapis.com | 199.36.153.8/30, the general front door for Google APIs | not a bypass around a service perimeter |
| restricted.googleapis.com | 199.36.153.4/30, reachable only for services a perimeter allows | not the whole API surface, so some names stay out of reach |
عام ښکارېدونکې پتې د دې معنا نه لري چې مسیر باید ټونل پریږدي د عادي انټرنېټ لپاره. دا مخکښې د دې لپاره دي چې محلي کلایټ د خپلې خوښې د وتلو نقطې پر ځای د یوې ملاتړشوې لارې له مخې د Google مخکینو برخو ته ورسېږي. دوی د ټونل پورې اړوند منزلونه وګڼئ، نه د کتنې لپاره هوسټونه. د انټرنېټ د وتلو لپاره لیکل شوی فایر وال قاعده معمولاً دوی غورځوي، او دا د یوې عامې دلیل دی چې غوښتنه له پیل مخکې ناکامه شي.
DNS ټاکي چې کوم پای ټکي ته رسېږئ
محلي حل کوونکی هغو ریکارډونو ته وګرځوه چې Google د ټاکل شوي پای ټکي لپاره مستند کوي، تر څو هغه نومونه چې اپلیکیشن ورته اړتیا لري په هماغه VIP ځواب ووایي. یوازې googleapis.com کول کومه لیست نه دی: د بنډل راجسترونه، د کانټینر راجسترونه او د کډوالۍ نښلوونکي خپل مستند نومونه لري. محدود VIP هم هره خدمت نه وړي، نو هغه نوم چې حل شي کېدای شي لا هم نه ملاتړ شوی وي. مخکې له دې چې حل کوونکي ته لاس ووهئ، هغه ډومینونه ولیکئ چې اپلیکیشن واقعاً ورسره اړیکه نیسي.
په VPC کې د VM پتې اټکل کول د خدمت نوم پر ځای سمون نه دی، او معمولاً د DNS تشه پټوي تر څو بل کلایټ ناکام شي.
د VIP مخکښه اعلان کړئ، پاتې وساتئ
په BGP ولاړه اړیکه کې، Cloud Router باید ټاکل شوې VIP مخکښه اعلان کړي تر څو محلي روټر هغه ساحه د پام وړ ناستې له لارې زده کړي. یوازې د VPC subnetونو اعلانول هغه ساحه نه زیاتوي، او محلي روټر د هغو پتو لپاره خپله اصلي لار کاروي. په روټینګ جدول کې مخکښه یوازینی ثبوت دی چې اعلان ناسته تېره کړه.
د نوي اضافه کولو پر مهال موجود اعلانونه وساتئ، ځکه چې د روټر کچې او د همزولي کچې انتخابونه مختلفه رسېدنه لري، او د سیټ بدلول کېدای شي هغه شبکه بېرته واخلي چې مخکې کار کوله. بیا په ټول روټر نه، بلکې په هرې ناستې کې اغېزمن اعلان وګورئ. ورکه مخکښه او بېرته اخیستل شوې مخکښه د محلي اړخ څخه یو شان ښکاري، نو د ناستې لید هماغه دی چې پرېښودنه له رګریشن جلا کوي.
د VPC اړخ خپل مسیر او د بېرته راتلو لاره غواړي
د VPC په داخل کې، د VIP لار باید د راتلونکي خیز په توګه اصلي انټرنېټ ګېټوې وکاروي، او د نوم سره سره هغه ټرافیک د Google په شبکه کې پاتې کېږي. VPC هم د VPN له لارې محلي سرچینې ته د بېرته راتلو مسیر ته اړتیا لري، چې د اعلان شوې مخکښې څخه جلا څیز دی. کله چې ټونل او کلایټ په یوه سیمه کې نه وي، مستند سیمه ییز روټینګ اړتیاوې په پام کې ونیسئ.
د بېرته راتلو لاره په خپلواکه توګه وګورئ، ځکه چې کار کوونکی د غوښتنې لوری کېدای شي مات شوی د ځواب لوری پټ کړي. دوه لوري، دوه مسیرونه، او هر یو په خپله نښه ناکامېږي.
غوښتنه وآزمویئ، بیا رد کول ولولئ
د دې VIP پتو څخه ICMP انعکاس هیڅ ځواب نه اخلي، نو ناکام ping هیڅ ثابتوي او بریالی ډېر لږ. له ریښتیني کلایټ څخه د نوم ځواب او ټاکل شوی مسیر وګورئ، بیا هغه خدمت ته چې تاسو ته مهم دی اجازه لرونکې HTTPS غوښتنه وکړئ. که غوښتنه خدمت ته ورسېده او رد شوه، سندونه، IAM او هر هغه د خدمت پولې تګلاره چې پلي کېږي وګورئ.
شخصي روټینګ د API اجازه نه ورکوي او نه بدلوي چې هویت څه کولی شي. د لېږد بریا او اجازه لرونکی ځواب جلا پایلې دي، او تاسو دواړو ته اړتیا لرئ. د IPv6 لاره هم روښانه وساتئ، ځکه چې د IPv4 مخکښو تنظیمول د IPv6 غوره کوونکي کلایټ په اړه هیڅ نه وایي.
د Google لارښود د محلي شبکې څخه Private Google Access په اړه DNS ریکارډونه او د روټینګ اړتیاوې یوځای رانغاړي، نو خپل حل کوونکی او د اعلان تنظیمات ورسره پرتله کړئ، نه د فورمې له یوې پوسټ سره. بیا هماغه غوښتنه بیا وچلوئ او ځواب او مسیر په هماغه ټکټ کې ولیکئ.