1. Giới thiệu
Tổng quan
Để bảo mật lưu lượng truy cập mạng cho các dịch vụ và ứng dụng của mình, nhiều tổ chức sử dụng mạng đám mây riêng ảo (VPC) trên Google Cloud với các biện pháp kiểm soát ngoại vi nhằm ngăn chặn hành vi đánh cắp dữ liệu. Mạng VPC là phiên bản ảo của mạng vật lý, được triển khai bên trong mạng lưới sản xuất của Google. Mạng VPC cung cấp khả năng kết nối cho các phiên bản máy ảo (VM) Compute Engine của bạn, cung cấp các Trình cân bằng tải mạng truyền qua nội bộ riêng và hệ thống proxy cho các Trình cân bằng tải ứng dụng nội bộ, kết nối với các mạng tại cơ sở bằng cách sử dụng các đường hầm Cloud VPN và tệp đính kèm VLAN cho Cloud Interconnect, đồng thời phân phối lưu lượng truy cập từ các trình cân bằng tải bên ngoài của Google Cloud đến các hệ thống phụ trợ.
Không giống như VM, các dịch vụ Cloud Run không được liên kết với bất kỳ mạng VPC cụ thể nào theo mặc định. Lớp học lập trình này minh hoạ cách thay đổi chế độ cài đặt lưu lượng vào (kết nối đầu vào) để chỉ lưu lượng truy cập đến từ VPC mới có thể truy cập vào dịch vụ Cloud Run (ví dụ: dịch vụ phụ trợ). Ngoài ra, lớp học lập trình này sẽ hướng dẫn bạn cách yêu cầu dịch vụ thứ hai (ví dụ: dịch vụ giao diện người dùng) truy cập vào dịch vụ Cloud Run phụ trợ thông qua VPC.
Trong ví dụ này, dịch vụ Cloud Run phụ trợ sẽ trả về Hello world (Xin chào mọi người). Dịch vụ Cloud Run giao diện người dùng cung cấp một trường nhập dữ liệu trong giao diện người dùng để thu thập URL. Sau đó, dịch vụ giao diện người dùng thực hiện yêu cầu GET tới URL đó (ví dụ: dịch vụ phụ trợ), do đó biến dịch vụ này thành dịch vụ cho yêu cầu dịch vụ (thay vì từ trình duyệt dẫn đến yêu cầu dịch vụ). Khi dịch vụ giao diện người dùng có thể truy cập thành công vào phần phụ trợ, thông báo Hello world (Xin chào thế giới) sẽ hiển thị trong trình duyệt.
Kiến thức bạn sẽ học được
- Cách chỉ cho phép lưu lượng truy cập từ VPC đến dịch vụ Cloud Run
- Cách định cấu hình đầu ra trên dịch vụ Cloud Run để giao tiếp với dịch vụ Cloud Run chỉ vào nội bộ
2. Thiết lập và yêu cầu
Điều kiện tiên quyết
- Bạn đã đăng nhập vào Cloud Console.
- Trước đây, bạn đã triển khai một dịch vụ Cloud Run. Ví dụ: bạn có thể làm theo hướng dẫn triển khai dịch vụ web từ phần bắt đầu nhanh bằng mã nguồn để bắt đầu.
Kích hoạt Cloud Shell
- Trong Cloud Console, hãy nhấp vào Kích hoạt Cloud Shell
.
Nếu đây là lần đầu tiên khởi động Cloud Shell, bạn sẽ thấy một màn hình trung gian mô tả về Cloud Shell. Nếu bạn nhìn thấy màn hình trung gian, hãy nhấp vào Tiếp tục.
Quá trình cấp phép và kết nối với Cloud Shell chỉ mất vài phút.
Máy ảo này được tải tất cả các công cụ phát triển cần thiết. Dịch vụ này cung cấp thư mục gốc có dung lượng ổn định 5 GB và chạy trên Google Cloud, giúp nâng cao đáng kể hiệu suất và khả năng xác thực của mạng. Nhiều (nếu không nói là) tất cả công việc của bạn trong lớp học lập trình này đều có thể thực hiện bằng trình duyệt.
Sau khi kết nối với Cloud Shell, bạn sẽ thấy mình đã được xác thực và dự án được đặt thành mã dự án.
- Chạy lệnh sau trong Cloud Shell để xác nhận rằng bạn đã được xác thực:
gcloud auth list
Kết quả lệnh
Credentialed Accounts
ACTIVE ACCOUNT
* <my_account>@<my_domain.com>
To set the active account, run:
$ gcloud config set account `ACCOUNT`
- Chạy lệnh sau trong Cloud Shell để xác nhận rằng lệnh gcloud biết về dự án của bạn:
gcloud config list project
Kết quả lệnh
[core] project = <PROJECT_ID>
Nếu chưa, bạn có thể thiết lập chế độ này bằng lệnh sau:
gcloud config set project <PROJECT_ID>
Kết quả lệnh
Updated property [core/project].
3. Tạo các dịch vụ Cloud Run
Thiết lập biến môi trường
Bạn có thể thiết lập các biến môi trường sẽ được dùng trong suốt lớp học lập trình này.
REGION=<YOUR_REGION, e.g. us-central1> FRONTEND=frontend BACKEND=backend
Tạo dịch vụ Cloud Run phụ trợ
Trước tiên, tạo một thư mục cho mã nguồn và cd vào thư mục đó.
mkdir -p internal-codelab/frontend internal-codelab/backend && cd internal-codelab/backend
Sau đó, hãy tạo một tệp package.json với nội dung sau:
{
"name": "backend-service",
"version": "1.0.0",
"description": "",
"scripts": {
"start": "node index.js"
},
"dependencies": {
"express": "^4.18.1"
}
}
Tiếp theo, hãy tạo một tệp nguồn index.js có nội dung như bên dưới. Tệp này chứa điểm truy cập cho dịch vụ và chứa logic chính cho ứng dụng.
const express = require('express');
const app = express();
app.use(express.urlencoded({ extended: true }));
app.get('/', function (req, res) {
res.send("hello world");
});
const port = parseInt(process.env.PORT) || 8080;
app.listen(port, () => {
console.log(`helloworld: listening on port ${port}`);
});
Cuối cùng, hãy triển khai dịch vụ Cloud Run bằng lệnh sau đây.
gcloud run deploy $BACKEND --source . --allow-unauthenticated --region $REGION
Tạo dịch vụ Cloud Run giao diện người dùng
Chuyển đến thư mục giao diện người dùng.
cd ../frontend
Sau đó, hãy tạo một tệp package.json với nội dung sau:
{
"name": "frontend",
"version": "1.0.0",
"description": "",
"scripts": {
"start": "node index.js"
},
"keywords": [],
"author": "",
"license": "ISC",
"dependencies": {
"axios": "^1.6.6",
"express": "^4.18.2"
}
}
Tiếp theo, hãy tạo một tệp nguồn index.js có nội dung như bên dưới. Tệp này chứa điểm truy cập cho dịch vụ và chứa logic chính cho ứng dụng.
const express = require("express");
const app = express();
const port = 8080;
const path = require('path');
const axios = require('axios');
// serve static content (index.html) using
// built-in middleware function in Express
app.use(express.static('public'));
app.use(express.urlencoded({ extended: true }));
// this endpoint receives a URL in the post body
// and then makes a get request to that URL
// results are sent back to the caller
app.post('/callService', async (req, res) => {
const url = req.body.url;
let message = "";
try {
console.log("url: ", url);
const response = await axios.get(url);
message = response.data;
} catch (error) {
message = error.message;
console.error(error.message);
}
res.send(`
${message}
<p>
</p>
`);
});
app.listen(port, () => {
console.log(`Example app listening on port ${port}`);
});
Tạo thư mục công khai cho tệpindex.html
mkdir public touch public/index.html
Và cập nhậtindex.html để chứa những nội dung sau:
<html>
<script
src="https://unpkg.com/htmx.org@1.9.10"
integrity="sha384-D1Kt99CQMDuVetoL1lrYwg5t+9QdHe7NLX/SoJYkXDFfX37iInKRy5xLSi8nO7UC"
crossorigin="anonymous"
></script>
<body>
<div style="margin-top: 100px; margin-left: 100px">
<h1>I'm the Frontend service on the Internet</h1>
<form hx-trigger="submit" hx-post="/callService" hx-target="#message">
<label for="url"> URL:</label>
<input
style="width: 308px"
type="text"
id="url"
name="url"
placeholder="The backend service URL"
required
/>
<button hx-indicator="#loading" type="submit">Submit</button>
<p></p>
<span class="htmx-indicator" id="loading"> Loading... </span>
<div id="message" style="white-space: pre-wrap"></div>
<p></p>
</form>
</div>
</body>
</html>
Cuối cùng, hãy triển khai dịch vụ Cloud Run bằng lệnh sau đây.
gcloud run deploy $FRONTEND --source . --allow-unauthenticated --region $REGION
Gọi cho Dịch vụ phụ trợ
Xác minh rằng bạn đã triển khai thành công 2 dịch vụ Cloud Run.
Mở URL của dịch vụ giao diện người dùng trong trình duyệt web của bạn.
Trong hộp văn bản, hãy nhập URL của dịch vụ phụ trợ. Xin lưu ý rằng yêu cầu này được định tuyến từ phiên bản giao diện người dùng Cloud Run đến dịch vụ Cloud Run phụ trợ, thay vì được định tuyến từ trình duyệt của bạn.
Bạn sẽ thấy thông báo "hello world" ("Xin chào mọi người").
4. Chỉ đặt Dịch vụ phụ trợ cho lưu lượng vào nội bộ
Chạy lệnh gcloud sau đây để chỉ cho phép lưu lượng truy cập từ trong mạng VPC truy cập vào dịch vụ phụ trợ của bạn.
gcloud run services update $BACKEND --ingress internal --region $REGION
Để xác nhận rằng dịch vụ phụ trợ chỉ có thể nhận lưu lượng truy cập từ VPC, hãy thử gọi lại dịch vụ phụ trợ từ dịch vụ giao diện người dùng của bạn.
Lần này, bạn sẽ thấy thông báo "Yêu cầu không thành công với mã trạng thái 404"
Bạn gặp lỗi này vì yêu cầu dịch vụ Cloud Run giao diện người dùng (tức là đầu ra) đi ra Internet trước tiên, vì vậy, Google Cloud không biết nguồn gốc của yêu cầu.
Trong phần tiếp theo, bạn sẽ định cấu hình dịch vụ giao diện người dùng để truy cập vào VPC, nhờ đó Google Cloud sẽ biết được yêu cầu đến từ VPC, vốn được công nhận là nguồn nội bộ.
5. Định cấu hình Dịch vụ giao diện người dùng để truy cập vào VPC
Trong phần này, bạn sẽ định cấu hình dịch vụ Cloud Run trên giao diện người dùng để giao tiếp với dịch vụ phụ trợ thông qua VPC.
Để thực hiện việc này, bạn cần thêm đầu ra VPC trực tiếp vào các phiên bản Cloud Run giao diện người dùng để cấp cho dịch vụ của bạn một IP nội bộ dùng trong VPC. Sau đó, bạn sẽ định cấu hình đầu ra sao cho tất cả các kết nối đi từ dịch vụ giao diện người dùng sẽ chuyển đến VPC.
Trước tiên, hãy chạy lệnh sau để bật đầu ra VPC trực tiếp:
gcloud beta run services update $FRONTEND \ --network=default \ --subnet=default \ --vpc-egress=all-traffic \ --region=$REGION
Giờ đây, bạn có thể xác nhận rằng dịch vụ giao diện người dùng của mình có quyền truy cập vào VPC:
gcloud beta run services describe $FRONTEND \ --region=$REGION
Bạn sẽ thấy kết quả tương tự như
VPC access:
Network: default
Subnet: default
Egress: all-traffic
Bây giờ, hãy thử lại để gọi dịch vụ phụ trợ từ dịch vụ giao diện người dùng của bạn.
Lần này, bạn sẽ thấy thông báo "hello world" ("Xin chào mọi người").
Lưu ý: Dịch vụ giao diện người dùng của bạn sẽ không có quyền truy cập Internet vì tất cả đầu ra đã được định tuyến đến VPC. Ví dụ: dịch vụ giao diện người dùng của bạn sẽ hết thời gian chờ nếu cố truy cập vào https://curlmyip.org/.
6. Xin chúc mừng!
Chúc mừng bạn đã hoàn thành lớp học lập trình!
Bạn nên tham khảo tài liệu về Cloud Run và cách định cấu hình mạng riêng tư cho các dịch vụ Cloud Run.
Nội dung đã đề cập
- Cách chỉ cho phép lưu lượng truy cập từ VPC đến dịch vụ Cloud Run
- Cách định cấu hình đầu ra trên dịch vụ Cloud Run để giao tiếp với dịch vụ Cloud Run chỉ vào nội bộ
7. Dọn dẹp
Để tránh các khoản phí vô tình (ví dụ: nếu các dịch vụ Cloud Run vô tình bị gọi nhiều lần hơn mức phân bổ lệnh gọi Cloud Run hằng tháng của bạn ở cấp miễn phí), bạn có thể xoá Cloud Run hoặc xoá dự án bạn đã tạo ở Bước 2.
Để xoá dịch vụ Cloud Run, hãy truy cập vào Cloud Run Cloud Console tại https://console.cloud.google.com/run rồi xoá dịch vụ $FRONTEND và $BACKEND.
Nếu chọn xoá toàn bộ dự án, bạn có thể truy cập vào https://console.cloud.google.com/cloud-resource-manager, chọn dự án mà bạn đã tạo ở Bước 2 rồi chọn Xoá. Nếu xoá dự án, bạn sẽ phải thay đổi các dự án trong Cloud SDK của mình. Bạn có thể xem danh sách tất cả dự án hiện có bằng cách chạy gcloud projects list.