App Engine inaweza kufikia hifadhidata yako ya VPN: ni nini kinapaswa kuoana

Madai kwamba App Engine Standard haiwezi kufikia hifadhidata ya kibinafsi kupitia Cloud VPN ni mabaki ya kizazi cha awali cha jukwaa. Vipengele vya Standard havipati anwani asilia ya VPC kama baadhi ya mazingira mengine ya utekelezaji, lakini vinaweza kutuma egress kupitia kiunganishi cha Serverless VPC Access kilicho katika mtandao wako. Mara njia hiyo ipo, Cloud VPN na firewall ya mbali huona trafiki ya kiunganishi kama chanzo kingine chochote. Kinachoshindikana ni mara chache uwezo wenyewe. Ni mojawapo ya mipangilio mitatu ambayo haikuwahi kupatanishwa.

Jibu la zamani lilitoka wapi

Kabla viunganishi havijakuwepo, jibu la kiutendaji kwa kweli lilikuwa kwamba Standard inaweza kuzungumza na vituo vya umma pekee, na timu zilihamia kwenye proxy VM au mazingira mengine ya utekelezaji ili kuepuka hilo. Jukwaa lilibadilika, hadithi za jadi hazikubadilika. Ushauri mwingi mtandaoni bado unaakisi zama ambazo hakukuwa na chaguo la egress kabisa.

Marekebisho ni membamba kuliko inavyosikika. Standard inaweza kufikia mtandao wa kibinafsi, lakini kupitia muunganisho wa egress unaotumika pekee, na kwa maeneo ambayo muunganisho huo hunasa kweli.

Chagua njia ya egress kwanza

Kiunganishi kilichounganishwa na huduma ndicho kinachoweka trafiki yake ndani ya VPC. Nyaraka za kiunganishi zinaorodhesha sharti la kikanda na mipangilio ya egress; kiunganishi lazima kiwepo katika eneo la huduma na kuweza kutumiwa na utambulisho unaosambaza.

vpc_access_connector:
  name: projects/PROJECT_ID/locations/REGION/connectors/CONNECTOR_NAME
  egress_setting: private-ranges-only

private-ranges-only hutuma maeneo ya kibinafsi ndani ya VPC na kuacha kila kitu kingine kwenye njia ya kawaida ya intaneti, ambayo kwa kawaida ndiyo inayohitajika na muunganisho wa hifadhidata. all-traffic husukuma trafiki ya nje kwa upana kupitia VPC, kwa hiyo simu za kawaida za intaneti pia zinarithi mkao wa NAT na firewall wa VPC.

Kuhariri faili kienyeji hakubadilishi chochote hadi usambaze. Toleo linaloendesha huhifadhi usanidi lilizoundwa nao.

Anwani ya chanzo ni kiunganishi, si kompyuta yako ya mkononi

Hapa ndipo muda mwingi wa utatuzi huenda. Lango la VPN la mbali na firewall ya hifadhidata lazima zikubali safu iliyotengwa kwa kiunganishi ndani ya VPC, si anwani ya ofisi yako na si anwani ya umma ya egress ya huduma. Tafuta safu hiyo kwenye konsoli kabla ya kuandika kanuni moja.

Maeneo mengine mawili lazima yakubaliane. Jedwali la njia la VPC linahitaji njia kuelekea mtandao wa mbali wa hifadhidata, na upande wa mbali unahitaji njia ya kurudi kwa safu ya kiunganishi. Ikiwa handaki linatumia vichaguzi vya trafiki, thibitisha kuwa safu ya kiunganishi iko ndani ya upeo uliojadiliwa. Njia iliyopo tu upande wa mbali-kwenda-kienyeji ni upungufu wa kawaida, na huachia ping kupita bila kukamilisha kamwe makubaliano ya TCP.

Handaki linalokubali subnet ya VM pekee litatupa pakiti za kiunganishi bila ujumbe wa hitilafu unaofaa, ndiyo sababu muda wa hifadhidata unaisha huonekana kama tatizo la vitambulisho.

DNS husafiri kwa njia tofauti

Jina la mwenyeji wa hifadhidata ya kibinafsi lazima litatuliwe ndani ya mtandao ambao kiunganishi hufikia, kupitia Cloud DNS peering au eneo la uelekezaji ambalo VPC inaweza kutumia. Kulitatua kwenye kituo chako cha kazi hakuthibitishi chochote kuhusu huduma iliyosambazwa, kwa sababu kompyuta yako ya mkononi haitumii kitatuzi hicho.

Ikiwa jina linatatuliwa kuwa anwani ya umma kutoka ndani ya VPC, unakaribia kutatua firewall isiyo sahihi.

URL Fetch haitumii kiunganishi

Mpangilio wa egress unashughulikia soketi za kawaida za nje za mazingira ya utekelezaji, na huduma ya zamani ya URL Fetch si sehemu ya njia hiyo. Ombi linalotolewa kupitia urlfetch hupuuza kiunganishi vyovyote vinavyosema usanidi. Wakati simu inayoshindikana iko katika maktaba ya zamani ambayo bado inatumia URL Fetch, suluhisho ni kuhamisha simu hiyo kwenye mteja wa kawaida wa HTTP.

Kwa dereva wa hifadhidata hili ni mara chache tatizo, lakini ndiyo sababu ya kawaida kwa nini kituo kimoja kinafanya kazi na kingine hakifanyi kutoka huduma moja.

Thibitisha kwa swali moja jembamba

Sambaza, kisha endesha operesheni moja ya hifadhidata inayoruhusiwa kutoka toleo lililosambazwa huku ukiangalia upande wa mbali. Anwani ya chanzo inayorekodiwa na hifadhidata au lango la VPN inapaswa kuwa ya kiunganishi. Ikiwa sivyo, ombi halikuingia kamwe ndani ya VPC na hakuna usanidi wa handaki utakayoirekebisha. Linganisha na safu uliyoifuata kwenye konsoli; kutofautiana kwa kawaida humaanisha kuwa kiunganishi cha pili kinahudumia toleo hilo.

Swali lililofanikiwa kutoka VM ndani ya VPC huthibitisha kwamba njia ipo. Hailothibitishi kwamba huduma iliichagua.