Cloud Run k miestnej VPN: nastavenie priameho výstupu VPC

Tunel Cloud VPN nepripojí Cloud Run do siete. Pripojte službu k správnej podsieti, smerujte jej rozsah zdrojov a potom otestujte túto revíziu.

Tunel je aktívny, virtuálny stroj sa dostane na miestny server a služba Cloud Run na tom istom hostiteľovi vyprší. To je bežný východiskový bod tejto úlohy a tunel je len zriedka to, čo je zle. Revízia Cloud Run sa predvolene nenachádza vo vašej VPC, a keď sa tam nachádza, používa vlastné zdrojové adresy namiesto podsiete virtuálnych strojov, ktorú ste už nasmerovali. Runbook nižšie pripojí službu, nasmeruje jej skutočný rozsah zdrojov a potom preukáže cestu z revízie, ktorá požiadavku obslúžila. Vykonajte ho v tomto poradí, pretože preskočenie prvého kroku je dôvod, prečo toľko takýchto prípadov končí zmenou VPN, ktorá nič neopraví.

Pripojte revíziu pred ladením tunela

Cloud Run podporuje priamy výstup VPC, ktorý umiestni prevádzku služby do podsiete vo vašej VPC bez konektora Serverless VPC Access. Pre existujúcu službu vyzerá aktualizácia takto:

gcloud run services update SERVICE \
  --region=REGION --network=NETWORK --subnet=SUBNET \
  --vpc-egress=private-ranges-only

Nahraďte zástupné symboly, prejdite si, čo nasadenie robí so živou prevádzkou, a vyberte podsieť v regióne služby s dostatočnou kapacitou adries a správnymi sieťovými oprávneniami.

Zvoľte režim výstupu, ktorý zodpovedá cieľu

private-ranges-only posiela ciele, ktoré klasifikuje ako súkromné, cez VPC. Neznamená to „všetko dostupné cez VPN“ a táto medzera sa objaví, keď miestna služba leží v rozsahu, ktorý nastavenie takto neklasifikuje. Ak cieľ nie je pokrytý, all-traffic je druhý dokumentovaný režim a posiela všetko cez VPC, vrátane verejných závislostí služby. Voľte vedome a dôsledok zapíšte do záznamu o zmene.

Služba, ktorá už používa konektor, vyžaduje migráciu, nie prepínač, preto ju naplánujte, namiesto toho, aby ste konfigurovali oboje.

Smerujte zdroj Cloud Run, nie zdroj virtuálneho stroja

Priamy výstup VPC prideľuje dočasné adresy z vybranej podsiete a miestna strana musí vracať prevádzku do tohto rozsahu. Spätná trasa alebo povolenie firewallu napísané pre inú podsieť virtuálnych strojov bude na diagrame vyzerať správne a v praxi zlyhá. Vezmite CIDR podsiete z VPC, nie z pamäte, a potom potvrďte, že krypto ACL alebo smerovacia tabuľka vzdialeného zariadenia ho obsahuje.

Pri dynamickom smerovaní overte, čo Cloud Router skutočne inzeruje a čo VPC importuje, vrátane akejkoľvek vlastnej politiky inzercie. Trasa, ktorá v konzole existuje, ale nie je pre tento cieľ vybraná, je to isté ako žiadna trasa.

Tri podmienky, ktoré musia platiť všetky

Funkčná cesta potrebuje všetko nasledujúce a každá z nich zlyháva po svojom:

  • Trasu vo VPC k miestnemu prefixu cez zamýšľané pripojenie Cloud VPN.
  • Spätnú trasu na miestnej strane pre podsieť Cloud Run.
  • Rozsah ochrany firewallu a IPsec, ktorý povoľuje zdroj, cieľ a port.

Chýbajúca trasa zvyčajne vyzerá ako vypršanie časového limitu bez dôkazov na vzdialenej strane. Problém so spätnou trasou vyzerá ako požiadavka, ktorá dorazí, a odpoveď, ktorá zmizne. Problém s firewallom alebo selektorom môže vyzerať ako odmietnutie alebo ako tiché zahodenie, podľa zariadenia. Zistenie, ktorý z troch prípadov máte, výrazne zužuje ďalší príkaz.

Nedávajte na zoznam povolených jedinú dočasnú adresu Cloud Run. Použite rozsah podsiete a návrh autorizácie, ktorý aplikácii vyhovuje.

Otestujte revíziu, ktorá požiadavku obslúžila

Pred testovaním skontrolujte nasadené sieťové nastavenia a rozdelenie prevádzky, pretože aktualizácia môže vytvoriť novú revíziu, kým požiadavky ešte dorazia do staršej. Potom vykonajte tú istú operáciu, ktorú vykonáva požiadavka používateľa, z tejto revízie. Ak je cieľom súkromný názov hostiteľa, skontrolujte jeho preklad v tomto prostredí a adresu, ktorú poskytol, pretože odpoveď podnikového DNS z vášho notebooku nič nedokazuje o mennom priestore služby. Zachovajte overenie názvu hostiteľa TLS a vlastnú autentifikáciu vzdialenej aplikácie.

Očakávajte dokumentované oneskorenia pripojenia pri štarte Direct VPC a dajte klientovi stratégiu pripravenosti alebo opakovania, namiesto toho, aby ste každý studený štart diagnostikovali ako pokazený tunel.

Vrátenie a čo to nerobí

Ak chcete vrátiť zmeny, obnovte sieťové nastavenia a nastavenia výstupu služby na ich predchádzajúce hodnoty a potvrďte, že skoršia revízia stále obsluhuje prevádzku. Uchovajte príkaz gcloud v zázname o zmene, pretože opak čiastočnej zmeny nie je po šiestich týždňoch zrejmý. Odstránenie pripojenia k VPC vráti službu na jej predchádzajúcu cestu výstupu, čo môže byť presne to, čo počas incidentu chcete.

Tento návrh pokrýva pripojenia, ktoré Cloud Run iniciuje, a ich odpovede. Nedáva miestnej sieti adresovateľný socket vnútri služby, pretože vystavenie dovnútra je rozhodnutie o ingress.

Súvisiace články