Cloud Run ка локалном VPN-у: подешавање директног VPC излаза

Cloud VPN тунел не ставља Cloud Run на мрежу. Повежите услугу са правом подмрежом, усмерите њен опсег извора, па тестирајте ту ревизију.

Тунел је активан, VM достиже локални сервер, а Cloud Run услуга истиче на истом хосту. То је уобичајена почетна тачка за овај задатак и тунел је ретко оно што је погрешно. Cloud Run ревизија подразумевано не стоји у вашој VPC, а када стане, користи сопствене изворне адресе уместо VM подмреже коју сте већ усмерили. Упутство испод повезује услугу, усмерава њен стварни опсег извора и затим доказује пут од ревизије која је опслужила захтев. Изведите га тим редоследом, јер прескакање првог корака је разлог зашто толико ових случајева заврши променом VPN-а која ништа не поправља.

Повежите ревизију пре него што отклањате грешке на тунелу

Cloud Run подржава директан VPC излаз, који ставља саобраћај услуге на подмрежу у вашој VPC без Serverless VPC Access конектора. За постојећу услугу ажурирање изгледа овако:

gcloud run services update SERVICE \
  --region=REGION --network=NETWORK --subnet=SUBNET \
  --vpc-egress=private-ranges-only

Замените резервисана места, прегледајте шта имплементација чини живом саобраћају и изаберите подмрежу у региону услуге са довољним капацитетом адреса и исправним мрежним дозволама.

Изаберите начин излаза који одговара одредишту

private-ranges-only шаље одредишта која класификује као приватна кроз VPC. То не значи „све што је доступно преко VPN-а“, а та празнина се појављује када локална услуга стоји у опсегу који поставка не класификује на тај начин. Ако одредиште није покривено, all-traffic је други документовани начин и шаље све кроз VPC, укључујући јавне зависности услуге. Изаберите свесно и запишите последицу у запис о промени.

Услуга која већ користи конектор захтева миграцију, а не прекидач, зато је планирајте уместо да конфигуришете обоје.

Усмерите Cloud Run извор, а не VM извор

Директан VPC излаз додељује привремене адресе из изабране подмреже, а локална страна мора да враћа саобраћај у тај опсег. Повратна рута или дозвола заштитног зида написана за другу VM подмрежу изгледаће исправно на дијаграму и неће радити у пракси. Узмите CIDR подмреже из VPC-а, а не из сећања, затим потврдите да крипто ACL или табела рута удаљеног уређаја то укључује.

Уз динамичко усмеравање, проверите шта Cloud Router заиста оглашава и шта VPC увози, укључујући сваку прилагођену политику оглашавања. Рута која постоји у конзоли али није изабрана за ово одредиште исто је што и никаква рута.

Три услова која сви морају да важе

Радни пут захтева све следеће, а сваки од њих пада на свој начин:

  • Рута у VPC-у према локалном префиксу кроз предвиђену Cloud VPN везу.
  • Повратна рута на локалној страни за Cloud Run подмрежу.
  • Обим заштите заштитног зида и IPsec-а који дозвољава извор, одредиште и порт.

Рута која недостаје обично изгледа као истек времена без доказа на удаљеној страни. Проблем са повратном рутом изгледа као захтев који долази и одговор који нестаје. Проблем са заштитним зидом или селектором може изгледати као одбијање или као тихо одбацивање, зависно од уређаја. Утврђивање који од та три имате знатно сужава следећу команду.

Не стављајте једну привремену Cloud Run адресу на листу дозвољених. Користите опсег подмреже и дизајн ауторизације који одговара апликацији.

Тестирајте ревизију која је опслужила захтев

Прегледајте примењена мрежна подешавања и расподелу саобраћаја пре тестирања, јер ажурирање може створити нову ревизију док захтеви још стижу на старију. Затим изведите исту операцију коју изводи кориснички захтев, са те ревизије. Ако је одредиште приватно име хоста, проверите његово разрешавање у том окружењу и адресу коју је дало, јер одговор корпоративног DNS-а са вашег преносног рачунара не доказује ништа о именском простору услуге. Задржите TLS проверу имена хоста и сопствену аутентификацију удаљене апликације.

Очекујте документована кашњења повезивања при покретању Direct VPC-а и дајте клијенту стратегију спремности или поновног покушаја уместо да сваки хладни старт дијагностикујете као покварен тунел.

Враћање и шта ово не ради

За враћање, вратите мрежна подешавања и подешавања излаза услуге на претходне вредности и потврдите да старија ревизија још увек опслужује саобраћај. Задржите gcloud команду у запису о промени, јер супротност делимичне промене није очигледна након шест недеља. Уклањање VPC прикључка враћа услугу на њен претходни пут излаза, што може бити управо оно што желите током инцидента.

Овај дизајн покрива везе које Cloud Run покреће и њихове одговоре. Он не даје локалној мрежи адресирајући сокет унутар услуге, јер је долазно излагање ingress одлука.

Повезани чланци