Cloud Run ka lokalnom VPN-u: podešavanje direktnog VPC izlaza

Tunel je aktivan, VM doseže lokalni server, a Cloud Run usluga ističe na istom hostu. To je uobičajena početna tačka za ovaj zadatak i tunel je retko ono što je pogrešno. Cloud Run revizija podrazumevano ne stoji u vašoj VPC, a kada stane, koristi sopstvene izvorne adrese umesto VM podmreže koju ste već usmerili. Priručnik ispod povezuje uslugu, usmerava njen stvarni raspon izvora i zatim dokazuje put od revizije koja je poslužila zahtev. Izvedite ga tim redosledom, jer preskakanje prvog koraka je razlog zašto toliko ovih slučajeva završi promenom VPN-a koja ništa ne popravlja.

Povežite reviziju pre nego što otklanjate greške na tunelu

Cloud Run podržava direktan VPC izlaz, koji stavlja saobraćaj usluge na podmrežu u vašoj VPC bez Serverless VPC Access konektora. Za postojeću uslugu ažuriranje izgleda ovako:

gcloud run services update SERVICE \
  --region=REGION --network=NETWORK --subnet=SUBNET \
  --vpc-egress=private-ranges-only

Zamenite rezervisana mesta, pregledajte šta implementacija čini živom saobraćaju i izaberite podmrežu u regionu usluge sa dovoljnim kapacitetom adresa i ispravnim mrežnim dozvolama.

Izaberite način izlaza koji odgovara odredištu

private-ranges-only šalje odredišta koja klasifikuje kao privatna kroz VPC. To ne znači „sve što je dostupno preko VPN-a“, a ta praznina se pojavljuje kada lokalna usluga stoji u rasponu koji postavka ne klasifikuje na taj način. Ako odredište nije pokriveno, all-traffic je drugi dokumentovani način i šalje sve kroz VPC, uključujući javne zavisnosti usluge. Izaberite svesno i zapišite posledicu u zapis o promeni.

Usluga koja već koristi konektor zahteva migraciju, a ne prekidač, zato je planirajte umesto da konfigurišete oboje.

Usmerite Cloud Run izvor, a ne VM izvor

Direktan VPC izlaz dodeljuje privremene adrese iz izabrane podmreže, a lokalna strana mora da vraća saobraćaj u taj raspon. Povratna ruta ili dozvola vatrozida napisana za drugu VM podmrežu izgledaće ispravno na dijagramu i neće raditi u praksi. Uzmite CIDR podmreže iz VPC-a, a ne iz sećanja, zatim potvrdite da kripto ACL ili tabela ruta udaljenog uređaja to uključuje.

Uz dinamičko usmeravanje, proverite šta Cloud Router zaista oglašava i šta VPC uvozi, uključujući svaku prilagođenu politiku oglašavanja. Ruta koja postoji u konzoli ali nije izabrana za ovo odredište isto je što i nikakva ruta.

Tri uslova koja svi moraju da važe

Radni put zahteva sve sledeće, a svaki od njih pada na svoj način:

• Ruta u VPC-u prema lokalnom prefiksu kroz predviđenu Cloud VPN vezu.
• Povratna ruta na lokalnoj strani za Cloud Run podmrežu.
• Obim zaštite vatrozida i IPsec-a koji dozvoljava izvor, odredište i port.

Ruta koja nedostaje obično izgleda kao istek vremena bez dokaza na udaljenoj strani. Problem s povratnom rutom izgleda kao zahtev koji dolazi i odgovor koji nestaje. Problem s vatrozidom ili selektorom može izgledati kao odbijanje ili kao tiho odbacivanje, zavisno od uređaja. Utvrđivanje koji od ta tri imate znatno sužava sledeću komandu.

Ne stavljajte jednu privremenu Cloud Run adresu na listu dozvoljenih. Koristite raspon podmreže i dizajn autorizacije koji odgovara aplikaciji.

Testirajte reviziju koja je poslužila zahtev

Pregledajte primenjena mrežna podešavanja i raspodelu saobraćaja pre testiranja, jer ažuriranje može stvoriti novu reviziju dok zahtevi još stižu na stariju. Zatim izvedite istu operaciju koju izvodi korisnički zahtev, s te revizije. Ako je odredište privatno ime hosta, proverite njegovo razrešavanje u tom okruženju i adresu koju je dalo, jer odgovor korporativnog DNS-a s vašeg prenosnog računara ne dokazuje ništa o imenskom prostoru usluge. Zadržite TLS proveru imena hosta i sopstvenu autentifikaciju udaljene aplikacije.

Očekujte dokumentovana kašnjenja povezivanja pri pokretanju Direct VPC-a i dajte klijentu strategiju spremnosti ili ponovnog pokušaja umesto da svaki hladni start dijagnostikujete kao pokvaren tunel.

Vraćanje i šta ovo ne radi

Za vraćanje, vratite mrežna podešavanja i podešavanja izlaza usluge na prethodne vrednosti i potvrdite da starija revizija još uvek poslužuje saobraćaj. Zadržite gcloud komandu u zapisu o promeni, jer suprotnost delimične promene nije očigledna nakon šest nedelja. Uklanjanje VPC priključka vraća uslugu na njen prethodni put izlaza, što može biti upravo ono što želite tokom incidenta.

Ovaj dizajn pokriva veze koje Cloud Run pokreće i njihove odgovore. On ne daje lokalnoj mreži adresabilan socket unutar usluge, jer je dolazno izlaganje ingress odluka.