App Engine mund të arrijë bazën tuaj të të dhënave VPN: çfarë duhet të përputhet

Pretendimi se App Engine Standard nuk mund të arrijë një bazë të dhënash private përmes Cloud VPN është mbetje e një gjenerate të mëparshme të platformës. Instancat Standard nuk marrin një adresë vendase të VPC si disa mjedise të tjera ekzekutimi, por mund të dërgojnë egress përmes një lidhësi Serverless VPC Access që ndodhet në rrjetin tuaj. Sapo kjo rrugë ekziston, Cloud VPN dhe firewalls i largët e shohin trafikun e lidhësit si çdo burim tjetër. Ajo që dështon rrallë është vetë aftësia. Është një nga tre cilësimet që nuk u rreshtuan kurrë.

Nga erdhi përgjigjja e vjetër

Përpara se të ekzistonin lidhësit, përgjigjja praktike ishte vërtet se Standard mund të fliste vetëm me pika fundore publike, dhe ekipet kaluan në një VM proksi ose në një mjedis tjetër ekzekutimi për ta anashkaluar. Platforma ndryshoi, folklori jo. Shumë këshilla në internet ende pasqyrojnë epokën kur nuk kishte fare opsion egress.

Korrigjimi është më i ngushtë sesa tingëllon. Standard mund të arrijë rrjetin privat, por vetëm përmes një integrimi egress të mbështetur, dhe vetëm për destinacionet që ai integrim kap vërtet.

Zgjidhni fillimisht rrugën e egress

Një lidhës i bashkangjitur shërbimit është ai që e vendos trafikun e tij në VPC. Dokumentacioni i lidhësit liston parakushtin rajonal dhe cilësimet e egress; lidhësi duhet të ekzistojë në rajonin e shërbimit dhe të jetë i përdorshëm nga identiteti që vendos.

vpc_access_connector:
  name: projects/PROJECT_ID/locations/REGION/connectors/CONNECTOR_NAME
  egress_setting: private-ranges-only

private-ranges-only dërgon destinacionet private në VPC dhe lë çdo gjë tjetër në rrugën normale të internetit, që zakonisht është ajo që i duhet një lidhjeje me bazën e të dhënave. all-traffic shtyn trafikun dalës gjerësisht përmes VPC, kështu që thirrjet e zakonshme të internetit trashëgojnë gjithashtu qëndrimin NAT dhe firewall të VPC.

Redaktimi i skedarit lokalisht nuk ndryshon asgjë derisa të vendosni. Një version që punon mban konfigurimin me të cilin u krijua.

Adresa e burimit është lidhësi, jo laptopi juaj

Këtu shkon pjesa më e madhe e kohës së korrigjimit. Porta e largët VPN dhe firewalls i bazës së të dhënave duhet të pranojnë diapazonin e caktuar për lidhësin brenda VPC, jo adresën e zyrës tuaj dhe jo adresën publike të egress të shërbimit. Kërkoni atë diapazon në konsolë përpara se të shkruani një rregull të vetëm.

Dy vende të tjera duhet të pajtohen. Tabela e rrugëve të VPC ka nevojë për një rrugë drejt rrjetit të largët të bazës së të dhënave, dhe ana e largët ka nevojë për një rrugë kthimi për diapazonin e lidhësit. Nëse tuneli përdor përzgjedhës trafiku, konfirmoni se diapazoni i lidhësit ndodhet brenda fushës së negociuar. Një rrugë që ekziston vetëm në drejtimin nga e largëta në lokale është një lëshim i zakonshëm, dhe ajo i lë ping-të të kalojnë pa përfunduar kurrë një shtrëngim duarsh TCP.

Një tunel që pranon vetëm një nënrrjet VM do t'i hedhë poshtë paketat e lidhësit pa një mesazh të dobishëm gabimi, prandaj skadimi i bazës së të dhënave duket si problem kredencialesh.

DNS udhëton në një rrugë tjetër

Një emër pritësi i bazës së të dhënave private duhet të zgjidhet brenda rrjetit që arrin lidhësi, përmes Cloud DNS peering ose një zone përcjelljeje që VPC mund të përdorë. Zgjidhja e tij në stacionin tuaj të punës nuk provon asgjë për shërbimin e vendosur, sepse laptopi juaj nuk e përdor atë zgjidhës.

Nëse emri zgjidhet në një adresë publike nga brenda VPC, ju jeni gati të korrigjoni firewalls e gabuar.

URL Fetch nuk e përdor lidhësin

Cilësimi i egress mbulon socket-et normale dalëse të mjedisit të ekzekutimit, dhe shërbimi i trashëguar URL Fetch nuk është pjesë e asaj rruge. Një kërkesë e lëshuar përmes urlfetch e injoron lidhësin, çfarëdo që thotë konfigurimi. Kur thirrja që dështon ndodhet në një bibliotekë më të vjetër që ende përdor URL Fetch, zgjidhja është ta zhvendosni atë thirrje te klienti standard HTTP.

Për një drejtues baze të dhënash ky është rrallë problemi, por është arsyeja klasike pse një pikë fundore funksionon dhe një tjetër jo nga i njëjti shërbim.

Verifikoni me një pyetësor të ngushtë

Vendosni, pastaj kryeni një operacion të lejuar me bazën e të dhënave nga versioni i vendosur duke vëzhguar anën e largët. Adresa e burimit e regjistruar nga baza e të dhënave ose porta VPN duhet të jetë e lidhësit. Nëse nuk është, kërkesa nuk hyri kurrë në VPC dhe asnjë konfigurim tuneli nuk e rregullon. Krahasoni atë me diapazonin që kërkuat në konsolë; një mospërputhje zakonisht do të thotë që një lidhës i dytë po i shërben versionit.

Një pyetësor i suksesshëm nga një VM brenda VPC vërteton se rruga ekziston. Nuk vërteton se shërbimi e zgjodhi atë.