VPN v VPC deluje, a upravljana storitev poteče
Tunel se konča na vašem robu, ne pri vhodnih vratih ponudnika. Preden spremenite pot, cilj razvrstite kot gostovan na VM, povezan z VPC ali samo javen.
Dostop do upravljane baze podatkov prek VPN običajno ne uspe zaradi razloga, ki ga nihče ni zapisal v priročnik: tunel se konča na robu vašega omrežja, storitev pa nikoli ni bila na vaši strani tega roba. Tabela poti je videti pravilna, tunel poroča, da je aktiven, povezava pa vseeno poteče. Izvedite štiri spodnje preverbe po vrsti in se ustavite pri prvi, katere pogoj uspeha ni izpolnjen, ker vsaka naslednja preverba predpostavlja, da so prejšnje uspele.
Prva preverba: kje končna točka v resnici živi?
Prehod VPN povezuje dve omrežji, katerih naslavljanje nadzorujete vi. Upravljana storitev deluje za lastnimi vhodnimi vrati ponudnika, ta vrata pa imajo glede na izdelek eno od treh oblik. Če ne veste, s katero obliko imate opravka, nobeno delo s potmi ne bo pomagalo, ker okvara morda sploh ni okvara usmerjanja.
| Shape | What it means | Pass condition |
|---|---|---|
| Software on your VM | Ordinary subnet addressing | Route and security group permit the client |
| Attached to your VPC | Private, but only inside that VPC | Endpoint associated, source allowed, route present |
| Provider-hosted, public endpoint | Optional private link, not private by default | A private endpoint exists and DNS points at it |
Večina zapravljenih popoldnevov nastane, ker to razvrstitev preskočijo in gredo naravnost do tabele poti. Storitev, gostovana pri ponudniku z javno končno točko, ni za vašim tunelom, kar koli pravi diagram, in tista, povezana z VPC, se nikoli ne bo pojavila v javnem odgovoru DNS.
Druga preverba: storitev, povezana z VPC, kot je ElastiCache
Predpomnilniki te vrste so naslovljeni znotraj vašega lastnega VPC in sploh nimajo poslušalca, obrnjenega v internet. Odjemalski VPN, ki se konča v istem VPC, jih lahko doseže, a le ko se ujemajo trije pogoji. Končna točka predpomnilnika mora biti povezana s podomrežji, ki jih vaš tunel vidi, njegova varnostna skupina mora dovoliti naslov, s katerega prihajajo vaši odjemalci, na odjemalski strani pa je potrebna pot, ki pokriva podomrežja predpomnilnika.
Pogosta napaka je domneva, da šteje tudi povezava nekje v bližini. Povezovanje VPN z drugim VPC ali zanašanje samo na peering ne razširi varnostne skupine predpomnilnika ali tabele poti njegovega podomrežja na vaše odjemalce. Ko se obstoječi tunel konča drugje, je običajna nadomestna rešitev skočni gostitelj ali strežnik VPN, nameščen znotraj tega VPC. Takšna nadomestna rešitev je obhod in ne zasnova, zato naj bo v priročniku tako označena.
Tretja preverba: končna točka PaaS z javnim imenom
Azure Database for PostgreSQL predstavi javno ime strežnika. Ne da vam zasebnega naslova, ki bi ga lahko pripeli v datoteko hosts in usmerili skozi prehod. Končne točke storitve navideznega omrežja omejujejo, katera podomrežja lahko dosežejo vir; ne pooblaščajo krajevnega odjemalca, ki pride prek VPN.
Pridobitev zasebnega dostopa pomeni uvedbo zasebne končne točke ali zasnove zasebne povezave in nato dodajanje zasebnega območja DNS, da javno ime odgovori s to končno točko namesto z internetom. VPN v kombinaciji s pravilom končne točke storitve je druga arhitektura, ki je videti enaka le na diagramu. App Service sledi isti logiki z nasprotne strani: integracija z VNet omogoča aplikaciji odhodne klice v VNet in ne ustvari dohodne zasebne poti iz vašega tunela. Dohodni zasebni dostop zato zahteva zasebno končno točko, okolje App Service ali prehod pred aplikacijo, in katero od tega lahko uporabite, je odvisno od načrta.
Četrta preverba: izdelki z lastnimi vhodnimi vrati
Firebase Hosting ni mogoče povezati s Cloud VPN, ker je gostiteljska plast globalna sprednja stran in ne nekaj znotraj VPC projekta. Dokumentirana alternativa je, da nadzorovano vstopno točko zgradite sami, z primerom proxyja ali uravnavalnikom obremenitve, podprtim z vedrom. Kakor koli že, spletno mesto preneha biti čisti gostiteljski izdelek in postane infrastruktura, ki jo zdaj upravljate vi. To menjavo velja poimenovati, preden kdo obljubi, da jo bo tunel pokril.
Private API Gateway stoji bližje strani storitev VPC: končna točka VPC vrste interface objavi ime gostitelja, katerega odgovori so zasebni naslovi, promet iz vaših prostorov pa pride po tunelu ali namenski povezavi. Končna točka mora biti povezana z API, potrdilo skupaj z imenom gostitelja pa se mora ujemati z domeno po meri, ki jo uporabljajo klicatelji.
Tuneli Google Cloud VPN se vežejo na IP naslove partnerjev, ne na imena. Posredovanje DNS se nastavi ločeno, zato je lahko tunel popolnoma zdrav, medtem ko iskanja v oddaljenem zasebnem območju še vedno ne uspejo.
Nato določite mejo
Zaženite isto povezavo z VM znotraj VPC. Ko tam uspe in z odjemalca VPN ne, vrzel je med potjo odjemalca in končno točko storitve: pot, varnostna skupina, pravilnik končne točke ali ime. Ko ne uspeta oba poskusa, nič v tem omrežju ne more doseči storitve in VPN ni bil nikoli ovira.
getent hosts db.internal.example
nc -vz db.internal.example 5432Iskanje imena in preverjanje vrat naredite ločeno, ker ne uspeta iz različnih razlogov in par vam pove, katera polovica poti je zlomljena. Ime, ki se razreši v javni naslov, vam pove, da zasebno območje DNS ni v igri.