Google API kupitia VPN: elekeza VIP, sio subnet pekee

Ingia kwenye seva ya ndani kwa SSH, pandisha handaki na VM ya kibinafsi inajibu; kisha wito wa kwanza kwa Google API unashindikana bila njia. Subnet ya VM na anwani za VIP za API ni maeneo tofauti, kwa hiyo njia ya moja haichagui nyingine. Masharti matatu lazima yatimizwe kabla wito wa API wa kibinafsi ufanye kazi. Jina la API lazima litatuliwe kuwa VIP, kiambishi cha VIP lazima kitangazwe kupitia handaki, na VPC lazima ijue jinsi ya kurudisha jibu. Ping haikwambii lolote kuhusu hayo, na kikao cha SSH kinachofanya kazi kwa mashine iliyo kwenye subnet pia hakikwambii.

Anwani za VIP za API ni maeneo tofauti

Google huchapisha VIP maalum kwa ajili ya ufikiaji wa API kutoka mtandao wa ndani, na hizo ndizo anwani ambazo DNS yako inapaswa kurudisha kwa majina ya API. Zote mbili ni viambishi vidogo na hakuna iliyo nafasi ya RFC 1918:

Anwani zinazoonekana za umma hazimaanishi kwamba njia inapaswa kuondoka kwenye handaki kwa intaneti ya kawaida. Viambishi vipo ili mteja wa ndani afikie sehemu za mbele za Google kupitia njia inayotumika badala ya sehemu ya kutoka ya nasibu. Zichukulie kama maeneo yaliyo ya handaki, sio kama wenyeji wa kuchunguzwa. Sheria ya firewall iliyoandikwa kwa ajili ya kutoka intaneti kawaida huzitupa, na hiyo ni sababu ya kawaida kwa nini wito unashindikana kabla ya kuanza.

DNS huamua ni kituo gani cha mwisho unachofikia

Elekeza kitatuzi cha ndani kwenye rekodi ambazo Google huandika kwa kituo cha mwisho kilichochaguliwa, ili majina ambayo programu inahitaji yajibu kwa VIP hiyo. Kuchora ramani ya googleapis.com pekee sio orodha: sajili za vifurushi, sajili za kontena na viunganishi vya uhamishaji vina majina yao yaliyoandikwa. VIP iliyozuiwa pia haibebi kila huduma, kwa hiyo jina linalotatuliwa linaweza bado kutotumika. Andika vikoa ambavyo programu inawasiliana navyo kweli kabla ya kugusa kitatuzi.

Kukisia anwani ya VM kwenye VPC badala ya jina la huduma sio suluhisho, na kawaida huficha pengo la DNS hadi mteja mwingine ashindwe.

Tangaza kiambishi cha VIP, hifadhi kilichobaki

Kwa muunganisho unaotegemea BGP, Cloud Router lazima itangaze kiambishi cha VIP kilichochaguliwa ili router ya ndani ijifunze safu hiyo kupitia kikao kilichokusudiwa. Kutangaza subnet za VPC pekee hakuongezi safu hiyo, na router ya ndani inaendelea kutumia njia yake ya chaguo-msingi kwa anwani hizo. Kiambishi kilicho kwenye jedwali la njia ni ushahidi pekee kwamba tangazo lilivuka kikao.

Hifadhi matangazo yaliyopo unapoongeza jipya, kwa sababu chaguo za ngazi ya router na ngazi ya rika zina wigo tofauti, na kubadilisha seti kunaweza kuondoa mitandao iliyokuwa ikifanya kazi. Kisha angalia tangazo lenye matokeo kwenye kila kikao na sio kwenye router kwa ujumla. Kiambishi kinachokosekana na kiambishi kilichotolewa huonekana sawa kutoka upande wa ndani, kwa hiyo mwonekano wa kikao ndio unaotenganisha kuachwa na kurudi nyuma.

Upande wa VPC unahitaji njia yake na njia ya kurudi

Ndani ya VPC, njia ya VIP lazima itumie lango la intaneti la chaguo-msingi kama hatua inayofuata, na licha ya jina trafiki hiyo inabaki ndani ya mtandao wa Google. VPC pia inahitaji njia ya kurudi kwenye chanzo cha ndani kupitia VPN, na hicho ni kitu tofauti na kiambishi kilichotangazwa. Zingatia mahitaji ya njia ya kikanda yaliyoandikwa wakati handaki na mteja haziko katika eneo moja.

Angalia njia ya kurudi kwa kujitegemea, kwa sababu mwelekeo wa ombi unaofanya kazi unaweza kuficha mwelekeo wa jibu uliovunjika. Mielekeo miwili, njia mbili, na kila moja inashindikana na dalili yake.

Jaribu ombi, kisha soma kukataliwa

ICMP echo haipati jibu kutoka VIP hizi, kwa hiyo ping iliyoshindikana haithibitishi chochote na iliyofanikiwa kidogo sana. Kutoka kwa mteja halisi, chunguza jibu la jina na njia iliyochaguliwa, kisha fanya ombi la HTTPS lililoidhinishwa kwa huduma unayoijali. Ikiwa ombi linafika kwenye huduma na linakataliwa, angalia vitambulisho, IAM na sera yoyote ya mzunguko wa huduma inayotumika.

Uelekezaji wa kibinafsi hautoi idhini ya API na haubadilishi kile utambulisho unaruhusiwa kufanya. Mafanikio ya usafirishaji na jibu lililoidhinishwa ni matokeo tofauti, na unahitaji yote mawili. Weka njia ya IPv6 wazi pia, kwa sababu kusanidi viambishi vya IPv4 hakusemi chochote kuhusu mteja anayependelea IPv6.

Mwongozo wa Google kuhusu Private Google Access kutoka mtandao wa ndani unashughulikia rekodi za DNS na mahitaji ya njia kwa pamoja, kwa hiyo linganisha mipangilio yako ya kitatuzi na tangazo nayo na sio na chapisho la jukwaa. Kisha endesha tena ombi lilelile na uandike jibu na njia kwenye tikiti lilelile.