Cloud Run hadi VPN ya ndani: usanidi wa Direct VPC egress

Tuneli iko juu, VM inafikia seva ya ndani, lakini huduma ya Cloud Run inaisha muda kwenye mwenyeji huo huo. Hii ni sehemu ya kawaida ya kuanzia kwa kazi hii, na tuneli mara chache ndiyo tatizo. Toleo la Cloud Run halikai katika VPC yako kwa chaguo-msingi, na linapokaa, hutumia anwani zake za chanzo badala ya subnet ya VM uliyoielekeza tayari. Kitabu cha utaratibu hapa chini kinaunganisha huduma, kinaelekeza masafa yake halisi ya chanzo, kisha kinathibitisha njia kutoka kwa toleo lililohudumia ombi. Liendeshe kwa mpangilio huo, kwa sababu kuruka hatua ya kwanza ndiyo sababu kesi nyingi kama hizi huishia na mabadiliko ya VPN ambayo hayarekebishi chochote.

Unganisha toleo kabla ya kutatua matatizo ya tuneli

Cloud Run inaunga mkono Direct VPC egress, ambayo huweka trafiki ya huduma kwenye subnet katika VPC yako bila kiunganishi cha Serverless VPC Access. Kwa huduma iliyopo, sasisho linaonekana hivi:

gcloud run services update SERVICE \
  --region=REGION --network=NETWORK --subnet=SUBNET \
  --vpc-egress=private-ranges-only

Badilisha viwekaji nafasi, kagua kile usambazaji hufanya kwa trafiki hai, na chagua subnet katika eneo la huduma yenye uwezo wa kutosha wa anwani na ruhusa sahihi za mtandao.

Chagua hali ya kutoka inayolingana na lengwa

private-ranges-only hutuma maeneo ambayo huyainisha kama ya faragha kupitia VPC. Hii haimaanishi «kila kitu kinachofikiwa kupitia VPN», na pengo hilo huonekana wakati huduma ya ndani iko katika masafa ambayo mpangilio hauyainishi hivyo. Ikiwa lengwa halijafunikwa, basi all-traffic ni hali nyingine iliyoandikwa, na hutuma kila kitu kupitia VPC, ikiwa ni pamoja na vitegemezi vya umma vya huduma. Chagua kwa uangalifu na uandike matokeo katika rekodi ya mabadiliko.

Huduma inayotumia kiunganishi tayari inahitaji uhamishaji na si swichi, kwa hivyo ipange badala ya kusanidi vyote viwili.

Elekeza chanzo cha Cloud Run, si chanzo cha VM

Direct VPC egress hutenga anwani za muda kutoka subnet iliyochaguliwa, na upande wa ndani lazima urudishe trafiki kwenye masafa hayo. Njia ya kurudi au ruhusa ya firewall iliyoandikwa kwa subnet nyingine ya VM itaonekana sawa kwenye mchoro na itashindikana kivitendo. Chukua CIDR ya subnet kutoka VPC na si kutoka kumbukumbu, kisha thibitisha kwamba crypto ACL au jedwali la njia la kifaa cha mbali linajumuisha hiyo.

Kwa uelekezaji unaobadilika, thibitisha kile Cloud Router inatangaza kwa kweli na kile VPC inaingiza, ikiwa ni pamoja na sera yoyote maalum ya matangazo. Njia iliyopo kwenye konsoli lakini haijachaguliwa kwa lengwa hili ni sawa na kutokuwa na njia.

Masharti matatu ambayo yote lazima yakamilike

Njia inayofanya kazi inahitaji yote yafuatayo, na kila moja hushindwa kwa namna yake:

• Njia katika VPC kuelekea kiambishi cha ndani kupitia muunganisho uliokusudiwa wa Cloud VPN.
• Njia ya kurudi upande wa ndani kwa subnet ya Cloud Run.
• Wigo wa ulinzi wa firewall na IPsec unaoruhusu chanzo, lengwa na bandari.

Njia inayokosekana kwa kawaida huonekana kama muda unaoisha bila ushahidi upande wa mbali. Tatizo la njia ya kurudi huonekana kama ombi linalofika na jibu linalotoweka. Tatizo la firewall au kiteuzi linaweza kuonekana kama kukataa au kama kudondosha kimya, kulingana na kifaa. Kubaini ni lipi kati ya matatu uliyonayo hupunguza sana amri inayofuata.

Usiweke hata anwani moja ya muda ya Cloud Run kwenye orodha ya kuruhusiwa. Tumia masafa ya subnet na muundo wa uidhinishaji unaofaa programu.

Jaribu toleo lililohudumia ombi

Kagua mipangilio ya mtandao iliyosambazwa na mgawanyo wa trafiki kabla ya kujaribu, kwa sababu sasisho linaweza kuunda toleo jipya wakati maombi bado yanafikia toleo la zamani. Kisha fanya operesheni ile ile ambayo ombi la mtumiaji hufanya, kutoka kwa toleo hilo. Ikiwa lengwa ni jina la mwenyeji la faragha, angalia utatuzi wake katika mazingira hayo na anwani iliyotolewa, kwa sababu jibu la DNS la shirika kutoka kwa kompyuta yako ya mkononi halithibitishi chochote kuhusu nafasi ya majina ya huduma. Weka uthibitishaji wa jina la mwenyeji wa TLS na uthibitishaji wa programu ya mbali yenyewe.

Tazamia ucheleweshaji ulioandikwa wa muunganisho wa kuanza wa Direct VPC, na mpe mteja mkakati wa utayari au kujaribu tena badala ya kugundua kila kuanza baridi kama tuneli iliyovunjika.

Kurudi nyuma na kile ambacho hii haifanyi

Ili kurudi nyuma, rejesha mipangilio ya mtandao na kutoka ya huduma kwenye thamani zake za awali na uthibitisha kwamba toleo la awali bado linahudumia trafiki. Weka amri ya gcloud kwenye rekodi ya mabadiliko, kwa sababu kinyume cha mabadiliko ya sehemu si dhahiri baada ya wiki sita. Kuondoa kiungo cha VPC hurudisha huduma kwenye njia yake ya awali ya kutoka, ambayo inaweza kuwa ndiyo hasa unayotaka wakati wa tukio.

Muundo huu unashughulikia miunganisho ambayo Cloud Run huanzisha na majibu yake. Haupi mtandao wa ndani soketi inayoweza kupewa anwani ndani ya huduma, kwa sababu kufichua ndani ni uamuzi wa ingress.