Есть вопрос по GCP, хотя в других облаках наверное похоже

Question

Есть вопрос по GCP, хотя в других облаках наверное похоже

работает.
Допустим у меня есть 1 (одна) виртуалка в Compute, слушающая https порт.
Хочу выставить её наружу, но так чтобы с SSL и с сертификатами не париться.
Если делать это через гугловый Load Balancer, то возникает проблема с тем что для региональных LB гугл не хочет сам рулить сертификатами, то есть их надо как-то отдельно будет перевыпускать и обновлять в том же GCP.
То есть мне сам балансировщик не нужен по-сути, только реверс-прокси и SSL. В таком случае наверное проще в сторону Cloudflare смотреть?

#devops #programming #russian

0

22.05.2023

15 ответов

15 просмотров

Ashenzari Автор вопроса

Elenhil
клаудфлер решит проблему, да. у гугла шо нету встр...

Есть, но она не для такого конфига: > Google-managed certificates aren't currently supported with regional external HTTP(S) load balancers.

0

22.05.2023

Andrey Kartashov

Certbot поставить и всё

0

22.05.2023

Elenhil

Ashenzari
Есть, но она не для такого конфига: > Google-manag...

хах. Ну тогда или ручками (через сертбот) или 3-пати

0

22.05.2023

Elenhil

Andrey Kartashov
Certbot поставить и всё

кстати не уверен что он сможет обновить на облаке серт сам

0

22.05.2023

Andrey Kartashov

Elenhil
кстати не уверен что он сможет обновить на облаке ...

А какая разница, если по http

0

22.05.2023

Andrey Kartashov

Ashenzari
Есть, но она не для такого конфига: > Google-manag...

Ну или глобальный лб использовать

0

22.05.2023

Ashenzari Автор вопроса

Andrey Kartashov
Ну или глобальный лб использовать

Для единственной виртуалки жирно как-то получается. Cloudflare пока что самым простым вариантом выглядит, но и там не без подводных типа лимита на размер загружаемых файлов.

0

22.05.2023

Andrey Kartashov

Ashenzari
Для единственной виртуалки жирно как-то получается...

Я бы цертбот поставил. Но тебе любой вариант советовать неправильно, потому что у тебя подход кривой. В облаке не хостят приложение просто на одной виртуалке.

0

22.05.2023

Ashenzari Автор вопроса

Andrey Kartashov
Я бы цертбот поставил. Но тебе любой вариант совет...

Посоветуй пожалуйста как правильно, я ж не против. Почему всё так криво: изначально была конфигурация на своём железе: виртуалка-прокси, которая смотрела наружу, запускала тот же certbot и проксировала запросы во внутреннюю сеть. Теперь пытаемся в GCP переехать, но на старте сделали максимально простую конструкцию: одна виртуалка, на которой и приложение, и реверс-прокси. И вот пришло время с этой единственной виртуалки выносить компоненты в отдельные сервисы GCP где это возможно. Ещё один вариант, конечно, поднять рядом вторую виртуалку-прокси и на ней уже запускать certbot и запросы проксировать, но это по-сути получается повторение старой конфигурации.

0

22.05.2023

AlexD

Ashenzari
Посоветуй пожалуйста как правильно, я ж не против....

используй принцип KISS

0

22.05.2023

Andrey Kartashov

Ashenzari
Посоветуй пожалуйста как правильно, я ж не против....

Правильно, это надо сначала ознакомиться с архитектурой приложения, потом по ней ,и по требованиям сделать архитектуру в облаке, потом деплоить. Это не сложно, но в чате не решается. Я только могу сказать, почему один в один неправильно переносить. В облаке виртуалки считаются эфемерными сущностями, на них нет и не будет никогда sla по доступности. В любой момент погасят для мейнтенанс и даже не предупредят.

0

22.05.2023

AlexD

Andrey Kartashov
Правильно, это надо сначала ознакомиться с архитек...

AWS дает 99,5% SLA для отдельных EC2 instance

0

22.05.2023

K0smas

haproxy умеет certbot

0

22.05.2023

AlexD