Cloud Run'dan mahalliy VPN'ga: Direct VPC chiqishini sozlash

Cloud VPN tunneli Cloud Run'ni tarmoqqa qo'ymaydi. Xizmatni to'g'ri quyi tarmoqqa ulang, uning manba diapazonini marshrutlang, so'ng o'sha reviziyani sinab ko'ring.

Tunnel ishlayapti, VM mahalliy serverga yetib boradi, lekin Cloud Run xizmati o'sha xostda vaqt tugab qoladi. Bu bu vazifaning odatiy boshlanish nuqtasi va tunnel kamdan-kam hollarda aybdor bo'ladi. Cloud Run reviziyasi sukut bo'yicha sizning VPC'ingizda joylashmaydi, va joylashganda u siz allaqachon marshrutlagan VM quyi tarmog'i o'rniga o'z manba manzillaridan foydalanadi. Quyidagi runbook xizmatni ulaydi, uning haqiqiy manba diapazonini marshrutlaydi, so'ng so'rovga xizmat ko'rsatgan reviziyadan yo'lni isbotlaydi. Uni shu tartibda bajaring, chunki birinchi qadamni o'tkazib yuborish bunday holatlarning ko'pchiligi hech narsani tuzatmaydigan VPN o'zgarishi bilan tugashining sababidir.

Tunnelni tuzatishdan oldin reviziyani ulang

Cloud Run quyidagini qo'llab-quvvatlaydi: to'g'ridan-to'g'ri VPC chiqishi, u xizmat trafigini Serverless VPC Access ulagichisiz VPC'ingizdagi quyi tarmoqqa joylashtiradi. Mavjud xizmat uchun yangilanish shunday ko'rinadi:

gcloud run services update SERVICE \
  --region=REGION --network=NETWORK --subnet=SUBNET \
  --vpc-egress=private-ranges-only

O'rin egalarini almashtiring, joylashtirish jonli trafik bilan nima qilishini ko'rib chiqing va xizmat hududida yetarli manzil sig'imi va to'g'ri tarmoq ruxsatlari bo'lgan quyi tarmoqni tanlang.

Manzilga mos chiqish rejimini tanlang

private-ranges-only xususiy deb tasniflagan manzillarni VPC orqali yuboradi. Bu «VPN orqali yetib bo'ladigan hamma narsa» degani emas va bu bo'shliq mahalliy xizmat sozlama bunday tasniflamaydigan diapazonda bo'lganda ko'rinadi. Agar manzil qamrab olinmagan bo'lsa, all-traffic boshqa hujjatlashtirilgan rejim bo'lib, u xizmatning ommaviy bog'liqliklarini ham qo'shib, hamma narsani VPC orqali yuboradi. Ongli tanlang va natijani o'zgarish yozuviga yozing.

Ulagichdan allaqachon foydalanayotgan xizmat almashtirishni emas, migratsiyani talab qiladi, shuning uchun ikkalasini ham sozlash o'rniga uni rejalashtiring.

VM manbasini emas, Cloud Run manbasini marshrutlang

To'g'ridan-to'g'ri VPC chiqishi tanlangan quyi tarmoqdan vaqtinchalik manzillar ajratadi va mahalliy tomon trafikni o'sha diapazonga qaytarishi kerak. Boshqa VM quyi tarmog'i uchun yozilgan qaytish yo'li yoki tarmoq devori ruxsati diagrammada to'g'ri ko'rinadi va amalda muvaffaqiyatsiz bo'ladi. Quyi tarmoq CIDR'ini xotiradan emas, VPC'dan oling, so'ng uzoq qurilmaning kripto ACL yoki marshrut jadvali uni o'z ichiga olishini tasdiqlang.

Dinamik marshrutlashda Cloud Router aslida nima e'lon qilishini va VPC nima import qilishini, jumladan har qanday maxsus e'lon siyosatini tekshiring. Konsolda mavjud bo'lib, bu manzil uchun tanlanmagan yo'l yo'l yo'qligi bilan barobar.

Barchasi bajarilishi kerak bo'lgan uchta shart

Ishlaydigan yo'l quyidagilarning barchasini talab qiladi va ularning har biri o'zicha muvaffaqiyatsiz bo'ladi:

  • VPC'da mo'ljallangan Cloud VPN ulanishi orqali mahalliy prefiksga qarab yo'l.
  • Mahalliy tomonda Cloud Run quyi tarmog'i uchun qaytish yo'li.
  • Manba, manzil va portga ruxsat beruvchi tarmoq devori va IPsec himoya doirasi.

Yo'q yo'l odatda uzoq tomonda hech qanday dalilsiz vaqt tugashi kabi ko'rinadi. Qaytish yo'li muammosi so'rov kelib, javob yo'qolishi kabi ko'rinadi. Tarmoq devori yoki selektor muammosi qurilmaga qarab rad etish yoki jim tashlash kabi ko'rinishi mumkin. Uchtadan qaysi biri sizda borligini aniqlash keyingi buyruqni ancha toraytiradi.

Bitta vaqtinchalik Cloud Run manzilini ruxsat etilganlar ro'yxatiga qo'ymang. Quyi tarmoq diapazoni va ilovaga mos avtorizatsiya dizaynidan foydalaning.

So'rovga xizmat ko'rsatgan reviziyani sinab ko'ring

Sinovdan oldin joylashtirilgan tarmoq sozlamalari va trafik taqsimotini ko'rib chiqing, chunki yangilanish yangi reviziya yaratishi mumkin, so'rovlar esa hali eskisiga yetib boradi. So'ng foydalanuvchi so'rovi bajaradigan amalni xuddi shu reviziyadan bajaring. Agar manzil xususiy xost nomi bo'lsa, uning o'sha muhitdagi yechilishini va hosil qilgan manzilni tekshiring, chunki noutbukingizdagi korporativ DNS javobi xizmatning nom maydoni haqida hech narsani isbotlamaydi. TLS xost nomini tekshirish va uzoq ilovaning o'z autentifikatsiyasini saqlang.

Direct VPC'ning hujjatlashtirilgan ishga tushish ulanish kechikishlarini kuting va har bir sovuq ishga tushishni buzilgan tunnel deb tashxis qilish o'rniga mijozga tayyorlik yoki qayta urinish strategiyasini bering.

Orqaga qaytarish va bu nima qilmaydi

Orqaga qaytarish uchun xizmatning tarmoq va chiqish sozlamalarini avvalgi qiymatlariga qaytaring va avvalgi reviziya hali ham trafikka xizmat ko'rsatayotganini tasdiqlang. gcloud buyrug'ini o'zgarish yozuvida saqlang, chunki qisman o'zgarishning teskarisi olti haftadan keyin ayon emas. VPC ulanishini olib tashlash xizmatni avvalgi chiqish yo'liga qaytaradi, bu voqea paytida siz xohlagan narsaning o'zi bo'lishi mumkin.

Bu dizayn Cloud Run boshlaydigan ulanishlarni va ularning javoblarini qamrab oladi. U mahalliy tarmoqqa xizmat ichida manzillanadigan socket bermaydi, chunki ichkariga ochilish ingress qaroridir.

O'xshash maqolalar