Métodos de rede para a conetividade da base de dados de origem

Para mover dados do servidor de base de dados de origem para a instância do Cloud SQL for PostgreSQL de destino, o serviço de migração de base de dados tem de se ligar à instância de origem. Essa ligação pode ser estabelecida através da Internet pública ou de uma série de ligações privadas na nuvem virtual privada (VPC) do seu projeto.

Esta página oferece uma vista geral de cada método de conetividade da base de dados de origem disponível, bem como uma secção de recomendações para ajudar a escolher a solução certa para a sua migração:

Depois de se familiarizar com os diferentes métodos de conetividade e os respetivos requisitos, pode usar o diagrama de árvore de decisão para escolher a solução certa para o seu cenário.

Comparação de métodos

Cada método de conetividade tem diferentes vantagens e requisitos. Use a tabela seguinte para os comparar rapidamente e, em seguida, saiba mais detalhes nas secções dedicadas a cada método.

Método de rede Vantagens Desvantagens
Lista de autorizações de IPs
  • O método de conetividade mais fácil de configurar.
  • Útil quando não é possível aceder à base de dados de origem através de redes privadas em Google Cloud.
  • Requer que exponha um endereço IPv4 do servidor da base de dados de origem à Internet pública. Isto requer medidas de segurança adicionais. Por exemplo, recomendamos que use certificados TLS e regras de firewall para proteger a ligação.
  • A configuração das regras de firewall pode exigir a assistência do departamento de TI.
  • O serviço de migração de base de dados não suporta a conetividade direta a bases de dados através da funcionalidade Single Client Access Name (SCAN) em ambientes Oracle Real Application Clusters (RAC). Para potenciais soluções para usar a conetividade da lista de autorizações de IP público com esses ambientes, consulte o artigo Resolva problemas de erros de SCAN da Oracle.
Encaminhe o túnel SSH

  • Mais seguro do que estabelecer ligação através de um IP público com uma lista de IPs permitidos.

    A ligação inicial é estabelecida através de portas Secure Shell (SSH) na Internet pública. Assim que a ligação estiver ativa, todo o tráfego passa por uma ligação privada e segura.

  • Útil quando não é possível aceder à base de dados de origem através de redes privadas no Google Cloud, mas não quer expor o servidor da base de dados de origem diretamente à Internet pública.
  • A utilização de um servidor intermédio (a máquina de túnel SSH de encaminhamento) para a conetividade pode introduzir uma latência adicional.
  • Tem de configurar e manter o servidor anfitrião forward-ssh. O servidor tem de estar online durante toda a migração.
Conetividade privada com o peering da nuvem privada virtual
  • A ligação é estabelecida ao endereço IP privado da sua base de dados de origem.
  • Este método de conetividade é mais adequado para origens cujo endereço IP privado pode ser alcançado a partir da sua Google Cloud rede da VPC.

Lista de permissões de IPs para conetividade da base de dados de origem

Quando usa o método de conetividade da lista de autorizações de IPs, o serviço de migração de bases de dados tenta estabelecer uma ligação a um endereço IP disponível publicamente do servidor de base de dados de origem.

Requisitos para a conetividade da lista de autorizações de IPs

Em termos gerais, para usar este método de conetividade, tem de garantir o seguinte:

  • Tem de expor o endereço IP da sua fonte à Internet pública (diretamente ou com um nome de anfitrião reconhecido publicamente através de um servidor de nomes de domínio [DNS]).

  • O serviço de migração de base de dados não suporta a conetividade direta a bases de dados através da funcionalidade Single Client Access Name (SCAN) em ambientes Oracle Real Application Clusters (RAC). Para potenciais soluções para usar a conetividade da lista de autorizações de IP público com esses ambientes, consulte o artigo Resolva problemas de erros de SCAN da Oracle.

  • Tem de permitir ligações recebidas dos endereços IP públicos do serviço de migração de bases de dados.

  • Opcional: a conetividade da lista de autorizações de IPs usa ligações não encriptadas por predefinição. Recomendamos que use certificados TLS para proteger a sua ligação. O Serviço de migração de base de dados oferece suporte para diferentes tipos de TLS para que possa escolher a melhor solução consoante o que a sua base de dados de origem suporta. Para mais informações, consulte o artigo Use certificados SSL/TLS para encriptar ligações de rede.

Configure a conetividade da lista de autorizações de IPs

A configuração da conetividade de IP público requer passos diferentes consoante o tipo de base de dados de origem. Para mais informações, consulte:

Túnel SSH de encaminhamento para a conetividade da base de dados de origem

Este método de conetividade é uma combinação de conetividade de rede pública e privada. A ligação em si é estabelecida através de portas Secure Shell (SSH) para o endereço IP público do servidor anfitrião do túnel. Assim que a ligação estiver ativa, todo o tráfego passa por um túnel seguro para o endereço IP privado da base de dados de origem.

Um diagrama de rede que mostra uma configuração de conetividade de alto nível através de um servidor de túnel SSH dedicado.
Figura 2. Exemplo de rede de migração: conetividade de origem através de um túnel SSH. (clique para aumentar)
Um diagrama de rede que mostra uma configuração de conetividade de alto nível através de um servidor de túnel SSH dedicado.

Requisitos para túneis SSH de encaminhamento

Para criar a ligação, tem de expor as portas SSH à Internet pública no servidor de túnel. Quando a conetividade é estabelecida, todo o tráfego é encaminhado através da ligação de túnel privado.

É possível terminar o túnel no mesmo servidor onde aloja a base de dados de origem, mas recomendamos que use um servidor de túnel dedicado. Desta forma, não expõe a sua base de dados de origem diretamente à Internet pública. O servidor de túnel pode ser qualquer anfitrião Unix ou Linux que possa ser alcançado a partir da Internet através de SSH e que possa aceder à sua base de dados de origem.

Para determinados cenários de conetividade, recomendamos que use o método de rede de conetividade privada com peering da nuvem privada virtual em vez de um túnel SSH encaminhado:

  • Para origens autoalojadas que residam no interior Google Cloud, o serviço de migração de bases de dados pode aceder ao IP privado da sua base de dados de origem com a configuração de conetividade privada. Não precisa de configurar um servidor SSH separado para estabelecer a ligação.

Configure a conetividade do túnel SSH de encaminhamento

A configuração da conetividade através de um túnel SSH de encaminhamento requer passos diferentes, consoante o tipo de base de dados de origem. Para mais informações, consulte:

Conetividade privada com o intercâmbio da VPC

Este método permite-lhe estabelecer ligação à sua origem através dos endereços IP privados na sua nuvem virtual privada (VPC). Não precisa de expor nenhuma interface à Internet pública para usar este método, mas requer que o endereço IP ou o nome de anfitrião da base de dados de origem seja acessível a partir da sua Google Cloud VPC.

Consoante a base de dados de origem que tiver, este método de conetividade pode exigir que configure componentes de rede adicionais (como o Cloud VPN ou uma VM de proxy inverso):

Um diagrama de rede que mostra uma configuração de conetividade de alto nível através de um servidor de túnel SSH dedicado.
Figura 3. Exemplo de rede de migração: conetividade de origem de IP privado com interligação da nuvem virtual privada e VPN na nuvem para origens geridas que residem fora do Google Cloud. (clique para aumentar)
Um diagrama de rede que mostra uma configuração de conetividade de alto nível através de um servidor de túnel SSH dedicado.

Requisitos para a conetividade de IP privado

Este método de conetividade é mais adequado para origens cujo endereço IP privado pode ser alcançado a partir da sua Google Cloud rede da VPC. Para origens autoalojadas que residam no Google Cloud, pode estabelecer associações de peering diretas com uma configuração de conetividade privada no serviço de migração de bases de dados. Para outros tipos de origens, pode precisar de componentes de rede adicionais, como a VPN Cloud ou uma VM de proxy inverso (ou ambos).

A conetividade de IP privado requer o seguinte:

Configure a conetividade IP privada com o intercâmbio da VPC

Para usar a conetividade de IP privado com o peering de nuvem privada virtual, o IP privado da base de dados de origem tem de estar acessível a partir da nuvem privada virtual. Consoante a arquitetura da sua rede, pode ter de usar componentes adicionais, como uma VM de proxy inverso ou o Cloud VPN.

Para saber mais sobre a configuração da conetividade de IP privado para diferentes origens de dados de bases de dados, consulte:

Árvore de decisões de conetividade de rede de origem

Quando conhecer todos os métodos de conetividade de origem suportados e os respetivos requisitos, pode seguir as perguntas no diagrama para ajudar a escolher o método de conetividade adequado para o seu cenário.

Um diagrama de árvore de decisão com perguntas orientadoras para ajudar a escolher o método de conetividade certo.
Figura 4. Árvore de decisões de conetividade de rede de origem. (clique para aumentar)

O que se segue?