역방향 SSH 터널을 사용하여 연결 구성

MySQL   |  PostgreSQL   |  PostgreSQL to AlloyDB

개요

보안 역방향 SSH 터널을 통해 대상 데이터베이스에서 소스 데이터베이스로의 연결을 설정할 수 있습니다. 이 방법을 사용하려면 Google Cloud 프로젝트에 배스천 호스트 VM과 소스 데이터베이스에 연결된 머신 (예: 네트워크의 노트북)이 필요합니다.

중요: 소스가 VPN (예: AWS 또는 자체 온프레미스 VPN) 내에 있는 경우 소스 연결 프로필은 소스 IP 주소와 포트 대신 VPN IP 주소와 포트를 사용해야 합니다.

PostgreSQL용 Database Migration Service는 마이그레이션 생성 시 필요한 정보를 수집하고 모든 설정을 위한 스크립트를 자동으로 생성합니다.

다음 다이어그램을 참고하세요.

역방향 SSH 터널 설정

다음 단계는 소스 데이터베이스와 Cloud SQL 인스턴스 간에 역방향 SSH 터널을 설정하기 위해 마이그레이션 작업을 생성하기 위한 Database Migration Service 흐름에서 실행됩니다. 몇 가지 매개변수를 제공한 후 소스 데이터베이스와 Google Cloud에 모두 연결된 머신에서 gcloud 명령어 세트를 실행합니다.

1. 소스 데이터베이스와 Cloud SQL 인스턴스 간의 연결을 설정하는 데 사용된 VM 인스턴스를 선택합니다. 일반적으로 이는 새 Cloud SQL 데이터베이스에 액세스하는 애플리케이션이 실행되는 VPC에서 실행되는 VM입니다. VM 인스턴스는 SSH 터널 배스천 서버 역할을 합니다.

2. 이 목적으로 기존 Compute Engine VM 인스턴스를 사용할 수 있습니다.

   1. 목록에서 Compute Engine VM 인스턴스를 선택합니다.

   2. SSH 터널에서 사용할 수 있는 사용 가능한 포트를 제공합니다.

   참고: 역방향 SSH 터널이 작동하려면 대상 서버의 /etc/ssh/sshd_config 파일에서 `GatewayPorts` 매개변수를 `yes` 로 설정하세요. 파일을 업데이트한 후 sudo systemctl restart sshd.service 명령어를 사용하여 sshd 서비스를 다시 시작합니다.
   
   기존 VM의 구성을 변경하지 않으려면 새 VM을 만드세요.

3. 또는 이 단계에서 새 VM을 만들 수 있습니다. CREATE A COMPUTE ENGINE VM INSTANCE를 선택하면 생성된 스크립트에 만들기 안내가 포함됩니다.

   1. VM 인스턴스의 이름을 입력합니다.

   2. VM의 머신 유형을 선택합니다.

   3. VM의 서브넷 지정

   참고: 스크립트로 만든 Compute Engine VM 인스턴스는 Database Migration Service에서 관리하지 않습니다. 인스턴스가 생성되면 조직에 표준 가격에 따라 인스턴스 요금이 청구되며, 더 이상 필요하지 않은 경우 인스턴스를 삭제하는 등 인스턴스 관리에 대한 책임이 조직에 있습니다.

4. 스크립트 보기를 클릭하여 생성된 스크립트를 확인합니다.

   기본적으로 스크립트는 Compute Engine VM 서버의 공개 IP 주소를 생성합니다. IP 주소를 비공개로 설정하려면 다음 단계를 따르세요.

   • --no-address 플래그를 추가하여 gcloud compute instances create 명령어를 변경합니다.
   • --internal-ip 플래그를 추가하여 gcloud compute ssh 명령어를 변경합니다.

   또한 공유 VPC에 있는 서브넷에서 배스천 호스트 VM을 만들려면 생성된 스크립트에서 export SUBNET_NAME 명령어를 /projects/project_name/regions/region_name/subnetworks/subnetwork_name를 가리키도록 변경합니다.

   예를 들면 다음과 같습니다.

   export SUBNET_NAME=projects/myproject/regions/myregion/subnetworks/mysubnetwork

   project_name는 공유 VPC가 배치된 프로젝트의 이름입니다. 프로젝트에는 리전과 서브네트워크가 있습니다. region_name 및 subnetwork_name는 VPC 프로젝트와 연결된 리전 및 서브네트워크의 이름입니다.

   pg_hba.conf 파일의 복제 연결 섹션이나 소스 데이터베이스의 AWS RDS 보안 그룹 정의가 Cloud SQL VPC의 IP 주소 범위로부터 연결을 수락하도록 업데이트되었는지 확인합니다.

5. 소스 데이터베이스와 Compute Engine VM에 모두 액세스할 수 있는 머신에서 스크립트를 실행합니다. 스크립트는 다음 작업을 실행합니다.

   • Compute Engine VM을 SSH 터널 배스천 서버로 구성합니다.

   • 소스 데이터베이스와 VPC 간에 안전한 SSH 연결을 설정합니다.

   • 새 Compute Engine VM을 만드는 경우 스크립트를 실행한 후 스크립트 출력에서 VM 서버 IP를 복사하여 제공된 텍스트 필드에 입력합니다. 나중에 마이그레이션 작업을 테스트하거나 시작할 때 Cloud SQL 인스턴스가 필요에 따라 업데이트됩니다.

6. 구성 및 계속을 클릭합니다.

7. 마이그레이션 작업을 확인하여 소스 데이터베이스 인스턴스에서 대상 Cloud SQL 데이터베이스 인스턴스로 데이터가 올바르게 마이그레이션되었는지 확인합니다.

8. 소스가 VPN (예: AWS 또는 자체 온프레미스 VPN) 내에 있는 경우 VPN을 통해 VPC 연결 섹션으로 이동하여 소스 VPN과 Google Cloud VPN이 서로 연동되도록 구성하는 방법을 자세히 알아보세요.

9. 이전 작업이 구성되고 연결이 확인되고 필요한 경우 VPN이 구성되면 작업을 실행할 수 있습니다.