Cloud Run'dan şirket içi VPN'e: Direct VPC egress kurulumu

Cloud VPN tüneli Cloud Run'ı ağa koymaz. Hizmeti doğru alt ağa bağlayın, kaynak aralığını yönlendirin, ardından o revizyonu test edin.

Tünel açık, bir VM şirket içi sunucuya ulaşıyor, ancak Cloud Run hizmeti aynı ana makinede zaman aşımına uğruyor. Bu, bu görev için olağan başlangıç noktasıdır ve sorun genellikle tünel değildir. Bir Cloud Run revizyonu varsayılan olarak VPC'nizde oturmaz, oturduğunda ise zaten yönlendirdiğiniz VM alt ağı yerine kendi kaynak adreslerini kullanır. Aşağıdaki runbook hizmeti bağlar, gerçek kaynak aralığını yönlendirir ve ardından isteği sunan revizyondan yolu kanıtlar. Bu sırayla çalıştırın, çünkü ilk adımı atlamak bu vakaların pek çoğunun hiçbir şeyi düzeltmeyen bir VPN değişikliğiyle bitmesinin nedenidir.

Tünelde hata ayıklamadan önce revizyonu bağlayın

Cloud Run şunu destekler: Direct VPC egress, bu, hizmetin trafiğini Serverless VPC Access bağlayıcısı olmadan VPC'nizdeki bir alt ağa koyar. Mevcut bir hizmet için güncelleme şöyle görünür:

gcloud run services update SERVICE \
  --region=REGION --network=NETWORK --subnet=SUBNET \
  --vpc-egress=private-ranges-only

Yer tutucuları değiştirin, dağıtımın canlı trafiğe ne yaptığını inceleyin ve hizmetin bölgesinde yeterli adres kapasitesine ve doğru ağ izinlerine sahip bir alt ağ seçin.

Hedefe uyan çıkış modunu seçin

private-ranges-only özel olarak sınıflandırdığı hedefleri VPC üzerinden gönderir. Bu, «VPN üzerinden erişilebilen her şey» anlamına gelmez ve bu boşluk, şirket içi hizmet ayarın bu şekilde sınıflandırmadığı bir aralıkta olduğunda ortaya çıkar. Hedef kapsanmıyorsa, all-traffic diğer belgelenmiş moddur ve hizmetin genel bağımlılıkları dahil her şeyi VPC üzerinden gönderir. Bilinçli seçin ve sonucu değişiklik kaydına yazın.

Zaten bağlayıcı kullanan bir hizmet anahtar değil geçiş gerektirir, bu yüzden ikisini birden yapılandırmak yerine geçişi planlayın.

VM kaynağını değil Cloud Run kaynağını yönlendirin

Direct VPC egress seçilen alt ağdan geçici adresler tahsis eder ve şirket içi taraf trafiği o aralığa geri döndürmelidir. Başka bir VM alt ağı için yazılmış bir dönüş rotası veya güvenlik duvarı izni şemada doğru görünür ve pratikte başarısız olur. Alt ağ CIDR'sini bellekten değil VPC'den alın, ardından uzak cihazın kripto ACL'sinin veya yönlendirme tablosunun bunu içerdiğini doğrulayın.

Dinamik yönlendirme ile Cloud Router'ın gerçekte ne duyurduğunu ve VPC'nin ne içe aktardığını, özel bir duyuru ilkesi dahil doğrulayın. Konsolda var olan ancak bu hedef için seçilmemiş bir rota, rota olmamasıyla aynıdır.

Hepsinin geçerli olması gereken üç koşul

Çalışan bir yol aşağıdakilerin tümünü gerektirir ve her biri kendi biçiminde başarısız olur:

  • VPC'de amaçlanan Cloud VPN bağlantısı üzerinden şirket içi öneke doğru bir rota.
  • Şirket içi tarafta Cloud Run alt ağı için bir dönüş rotası.
  • Kaynağa, hedefe ve bağlantı noktasına izin veren güvenlik duvarı ve IPsec koruma kapsamı.

Eksik rota genellikle uzak tarafta hiçbir kanıt olmadan zaman aşımı gibi görünür. Dönüş rotası sorunu, gelen istek ve kaybolan yanıt gibi görünür. Güvenlik duvarı veya seçici sorunu, cihaza bağlı olarak ret veya sessiz düşme gibi görünebilir. Üçünden hangisine sahip olduğunuzu belirlemek sonraki komutu büyük ölçüde daraltır.

Tek bir geçici Cloud Run adresini izin listesine koymayın. Alt ağ aralığını ve uygulamaya uygun bir yetkilendirme tasarımını kullanın.

İsteği sunan revizyonu test edin

Test etmeden önce dağıtılan ağ ayarlarını ve trafik dağılımını inceleyin, çünkü bir güncelleme yeni bir revizyon oluşturabilirken istekler hâlâ daha eski bir revizyona ulaşabilir. Ardından kullanıcının isteğinin gerçekleştirdiği işlemin aynısını o revizyondan gerçekleştirin. Hedef özel bir ana bilgisayar adıysa, o ortamdaki çözümünü ve ürettiği adresi kontrol edin, çünkü dizüstü bilgisayarınızın kurumsal DNS yanıtı hizmetin ad alanı hakkında hiçbir şeyi kanıtlamaz. TLS ana bilgisayar adı doğrulamasını ve uzak uygulamanın kendi kimlik doğrulamasını koruyun.

Direct VPC'nin belgelenmiş başlangıç bağlantı gecikmelerini bekleyin ve her soğuk başlangıcı bozuk tünel olarak teşhis etmek yerine istemciye bir hazır olma veya yeniden deneme stratejisi verin.

Geri alma ve bunun yapmadığı şey

Geri almak için hizmetin ağ ve çıkış ayarlarını önceki değerlerine döndürün ve önceki revizyonun hâlâ trafiğe hizmet ettiğini doğrulayın. gcloud komutunu değişiklik kaydında tutun, çünkü kısmi bir değişikliğin tersi altı hafta sonra açık değildir. VPC bağlantısını kaldırmak hizmeti önceki çıkış yoluna döndürür; bu, bir olay sırasında tam olarak istediğiniz şey olabilir.

Bu tasarım Cloud Run'ın başlattığı bağlantıları ve yanıtlarını kapsar. Şirket içi ağa hizmetin içinde adreslenebilir bir soket vermez, çünkü içeriye doğru maruz kalma bir ingress kararıdır.

İlgili makaleler