Cloud Run v lokalni VPN: nastavitev neposrednega izhoda VPC

Tunel je aktiven, VM doseže lokalni strežnik, storitev Cloud Run pa na istem gostitelju poteče. To je običajno izhodišče te naloge in tunel je le redko tisto, kar je narobe. Revizija Cloud Run privzeto ni v vaši VPC, in ko je, uporablja svoje naslove vira namesto podomrežja VM, ki ste ga že usmerili. Spodnji runbook poveže storitev, usmeri njen dejanski obseg virov in nato dokaže pot iz revizije, ki je zahtevo obdelala. Izvedite ga v tem vrstnem redu, ker je preskok prvega koraka razlog, da se toliko takih primerov konča s spremembo VPN, ki ne popravi ničesar.

Povežite revizijo, preden odpravljate napake v tunelu

Cloud Run podpira neposredni izhod VPC, ki promet storitve postavi v podomrežje v vaši VPC brez priključka Serverless VPC Access. Za obstoječo storitev je posodobitev videti takole:

gcloud run services update SERVICE \
  --region=REGION --network=NETWORK --subnet=SUBNET \
  --vpc-egress=private-ranges-only

Zamenjajte ograde, pregledajte, kaj namestitev naredi z živim prometom, in izberite podomrežje v regiji storitve z zadostno kapaciteto naslovov in pravilnimi omrežnimi dovoljenji.

Izberite način izhoda, ki ustreza cilju

private-ranges-only pošilja cilje, ki jih razvrsti kot zasebne, skozi VPC. To ne pomeni „vse, kar je dosegljivo prek VPN“, in ta vrzel se pokaže, ko je lokalna storitev v obsegu, ki ga nastavitev tako ne razvrsti. Če cilj ni pokrit, je all-traffic drugi dokumentirani način in pošilja vse skozi VPC, vključno z javnimi odvisnostmi storitve. Izberite zavestno in posledico zapišite v zapis o spremembi.

Storitev, ki že uporablja priključek, potrebuje selitev in ne stikala, zato jo načrtujte, namesto da bi nastavili oboje.

Usmerite vir Cloud Run, ne vira VM

Neposredni izhod VPC dodeljuje začasne naslove iz izbranega podomrežja in lokalna stran mora promet vračati v ta obseg. Povratna pot ali dovoljenje požarnega zidu, napisano za drugo podomrežje VM, bo na diagramu videti pravilno in v praksi ne bo delovalo. Vzemite CIDR podomrežja iz VPC in ne iz spomina, nato potrdite, da ga kripto ACL ali usmerjevalna tabela oddaljene naprave vsebuje.

Pri dinamičnem usmerjanju preverite, kaj Cloud Router dejansko oglašuje in kaj VPC uvaža, vključno s katero koli politiko oglaševanja po meri. Pot, ki v konzoli obstaja, a ni izbrana za ta cilj, je enaka kot nobena pot.

Trije pogoji, ki morajo veljati vsi

Delujoča pot potrebuje vse naslednje in vsak od njih odpove na svoj način:

• Pot v VPC proti lokalnemu predponiku prek predvidenega priključka Cloud VPN.
• Povratno pot na lokalni strani za podomrežje Cloud Run.
• Obseg zaščite požarnega zidu in IPsec, ki dovoljuje vir, cilj in vrata.

Manjkajoča pot je običajno videti kot potek časovne omejitve brez dokazov na oddaljeni strani. Težava s povratno potjo je videti kot zahteva, ki prispe, in odgovor, ki izgine. Težava s požarnim zidom ali selektorjem je lahko videti kot zavrnitev ali tiho opustitev, odvisno od naprave. Ugotavljanje, katera od treh je pri vas, močno zoži naslednji ukaz.

Na seznam dovoljenih ne dajte enega samega začasnega naslova Cloud Run. Uporabite obseg podomrežja in zasnovo avtorizacije, ki ustreza aplikaciji.

Preizkusite revizijo, ki je zahtevo obdelala

Pred preizkusom pregledajte nameščene omrežne nastavitve in porazdelitev prometa, ker lahko posodobitev ustvari novo revizijo, medtem ko zahteve še dosegajo starejšo. Nato izvedite isto operacijo, ki jo izvaja uporabnikova zahteva, iz te revizije. Če je cilj zasebno ime gostitelja, preverite njegovo razrešitev v tem okolju in naslov, ki ga je dalo, ker odgovor poslovnega DNS iz vašega prenosnika ne dokazuje ničesar o imenskem prostoru storitve. Ohranite preverjanje imena gostitelja TLS in lastno overjanje oddaljene aplikacije.

Pričakujte dokumentirane zamude pri povezavi ob zagonu Direct VPC in odjemalcu dajte strategijo pripravljenosti ali ponovnega poskusa, namesto da bi vsak hladen zagon diagnosticirali kot pokvarjen tunel.

Vrnitev in česa to ne naredi

Za vrnitev nastavite omrežne nastavitve in nastavitve izhoda storitve nazaj na prejšnje vrednosti in potrdite, da prejšnja revizija še vedno služi prometu. Ukaz gcloud shranite v zapis o spremembi, ker obrat delne spremembe po šestih tednih ni očiten. Odstranitev povezave z VPC vrne storitev na njeno prejšnjo pot izhoda, kar je med incidentom morda prav tisto, kar želite.

Ta zasnova zajema povezave, ki jih Cloud Run začne, in njihove odgovore. Lokalnemu omrežju ne daje naslovljive vitičnice znotraj storitve, ker je izpostavljenost navznoter odločitev o ingress.