Cloud Run سے آن-پریمائسز VPN تک: Direct VPC egress کی ترتیب

ٹنل چل رہی ہے، ایک VM آن-پریمائسز سرور تک پہنچتی ہے، لیکن Cloud Run سروس اسی ہوسٹ پر وقت ختم ہونے سے رک جاتی ہے۔ یہ اس کام کا معمول کا آغاز ہے، اور ٹنل ہی غلط ہوتی ہے ایسا کم ہوتا ہے۔ Cloud Run ریویژن بطور طے شدہ آپ کے VPC میں نہیں بیٹھتی, اور جب بیٹھتی ہے تو وہ آپ کے پہلے سے روٹ کردہ VM سب نیٹ کی بجائے اپنے ماخذ پتے استعمال کرتی ہے۔ نیچے دیا گیا رن بک سروس کو جوڑتا ہے، اس کی اصل ماخذ رینج روٹ کرتا ہے، اور پھر اسی ریویژن سے راستہ ثابت کرتا ہے جس نے درخواست کی خدمت کی۔ اسے اسی ترتیب سے چلائیں، کیونکہ پہلا مرحلہ چھوڑنا ہی یہ وجہ ہے کہ ایسے بہت سے معاملات ایسی VPN تبدیلی پر ختم ہوتے ہیں جو کچھ ٹھیک نہیں کرتی۔

ٹنل کی ڈی بگنگ سے پہلے ریویژن جوڑیں

Cloud Run معاونت کرتا ہے Direct VPC egress, جو Serverless VPC Access کنیکٹر کے بغیر سروس کا ٹرافک آپ کے VPC کے سب نیٹ پر رکھتا ہے۔ موجودہ سروس کے لیے اپ ڈیٹ ایسا دکھائی دیتا ہے:

gcloud run services update SERVICE \
  --region=REGION --network=NETWORK --subnet=SUBNET \
  --vpc-egress=private-ranges-only

پلیس ہولڈر بدلیں، دیکھیں کہ تعیناتی لائیو ٹرافک کے ساتھ کیا کرتی ہے، اور سروس کے علاقے میں کافی پتہ گنجائش اور درست نیٹ ورک اجازتوں والا سب نیٹ منتخب کریں۔

منزل سے میل کھانے والا egress موڈ منتخب کریں

private-ranges-only ان منزلوں کو VPC کے ذریعے بھیجتا ہے جنہیں وہ نجی قرار دیتا ہے۔ اس کا مطلب «ہر وہ چیز جو VPN سے قابل رسائی ہو» نہیں ہے، اور یہ خلا تب ظاہر ہوتا ہے جب آن-پریمائسز سروس ایسی رینج میں ہو جسے ترتیب اس طرح درجہ بند نہیں کرتی۔ اگر منزل شامل نہ ہو تو all-traffic دوسرا دستاویزی موڈ ہے، اور یہ سروس کے عوامی انحصار سمیت سب کچھ VPC کے ذریعے بھیجتا ہے۔ سوچ سمجھ کر منتخب کریں اور نتیجہ تبدیلی کے ریکارڈ میں لکھیں۔

پہلے سے کنیکٹر استعمال کرنے والی سروس کو ٹوگل نہیں بلکہ منتقلی چاہیے، اس لیے دونوں ترتیب دینے کی بجائے اس کی منصوبہ بندی کریں۔

VM ماخذ نہیں، Cloud Run ماخذ روٹ کریں

Direct VPC egress منتخب سب نیٹ سے عارضی پتے مختص کرتا ہے، اور آن-پریمائسز جانب کو ٹرافک اسی رینج میں واپس بھیجنا ہوتا ہے۔ کسی دوسرے VM سب نیٹ کے لیے لکھا گیا واپسی راستہ یا فائر وال اجازت خاکے میں درست دکھائی دے گی اور عملاً ناکام ہوگی۔ سب نیٹ CIDR حافظے سے نہیں، VPC سے لیں، پھر تصدیق کریں کہ دور دراز ڈیوائس کا کریپٹو ACL یا روٹ ٹیبل اسے شامل کرتا ہے۔

متحرک روٹنگ کے ساتھ، تصدیق کریں کہ Cloud Router واقعتاً کیا اعلان کرتا ہے اور VPC کیا درآمد کرتا ہے، بشمول کوئی حسب ضرورت اعلان پالیسی۔ کنسول میں موجود مگر اس منزل کے لیے منتخب نہ ہونے والا راستہ راستہ نہ ہونے کے برابر ہے۔

تین شرطیں جو سب پوری ہونی چاہئیں

کام کرنے والے راستے کو درج ذیل سب چاہیے، اور ہر ایک اپنے انداز میں ناکام ہوتا ہے:

• VPC میں مطلوبہ Cloud VPN کنکشن کے ذریعے آن-پریمائسز سابقے کی طرف ایک راستہ۔
• Cloud Run سب نیٹ کے لیے آن-پریمائسز جانب ایک الٹا راستہ۔
• ماخذ، منزل اور پورٹ کی اجازت دینے والا فائر وال اور IPsec تحفظ کا دائرہ۔

غائب راستہ عام طور پر دور دراز جانب کسی ثبوت کے بغیر وقت ختم ہونے جیسا دکھائی دیتا ہے۔ الٹے راستے کا مسئلہ درخواست آنے اور جواب غائب ہونے جیسا دکھائی دیتا ہے۔ فائر وال یا سلیکٹر کا مسئلہ ڈیوائس کے مطابق انکار یا خاموش کمی جیسا دکھائی دے سکتا ہے۔ یہ معلوم کرنا کہ تین میں سے کون سا آپ کے پاس ہے اگلے حکم کو بہت محدود کر دیتا ہے۔

ایک بھی عارضی Cloud Run پتہ اجازت یافتہ فہرست میں نہ رکھیں۔ سب نیٹ رینج اور ایپلیکیشن کے مطابق اجازت کا ڈیزائن استعمال کریں۔

اس ریویژن کو آزمائیں جس نے درخواست کی خدمت کی

جانچ سے پہلے تعینات نیٹ ورک ترتیبات اور ٹرافک تقسیم کا معائنہ کریں، کیونکہ اپ ڈیٹ نئی ریویژن بنا سکتا ہے جبکہ درخواستیں اب بھی پرانی تک پہنچتی ہیں۔ پھر وہی عمل کریں جو صارف کی درخواست کرتی ہے، اسی ریویژن سے۔ اگر منزل نجی ہوسٹ نام ہے تو اس ماحول میں اس کا حل اور پیدا کردہ پتہ دیکھیں، کیونکہ آپ کے لیپ ٹاپ کا کارپوریٹ DNS جواب سروس کے نام کی جگہ کے بارے میں کچھ ثابت نہیں کرتا۔ TLS ہوسٹ نام کی تصدیق اور دور دراز ایپلیکیشن کی اپنی توثیق برقرار رکھیں۔

Direct VPC کی دستاویزی آغاز کنکشن تاخیر کی توقع رکھیں، اور ہر ٹھنڈے آغاز کو ٹوٹی ٹنل کے طور پر تشخیص کرنے کی بجائے گاہک کو تیاری یا دوبارہ کوشش کی حکمت عملی دیں۔

واپسی اور یہ کیا نہیں کرتا

واپس لانے کے لیے سروس کی نیٹ ورک اور egress ترتیبات ان کی سابقہ قدروں پر لے آئیں اور تصدیق کریں کہ پرانی ریویژن اب بھی ٹرافک کی خدمت کر رہی ہے۔ gcloud حکم تبدیلی کے ریکارڈ میں رکھیں، کیونکہ جزوی تبدیلی کا الٹ چھ ہفتوں بعد واضح نہیں ہوتا۔ VPC منسلکہ ہٹانا سروس کو اس کے سابقہ egress راستے پر واپس لاتا ہے، جو کسی واقعے کے دوران آپ کو بالکل درکار ہو سکتا ہے۔

یہ ڈیزائن ان کنکشنز کا احاطہ کرتا ہے جو Cloud Run شروع کرتا ہے اور ان کے جوابات کا۔ یہ آن-پریمائسز نیٹ ورک کو سروس کے اندر پتہ پذیری ساکٹ نہیں دیتا، کیونکہ اندر کی طرف افشا ingress کا فیصلہ ہے۔