Configura la connettività utilizzando il tunnel SSH inverso

MySQL   |  PostgreSQL   |  PostgreSQL ad AlloyDB

Panoramica

Puoi stabilire la connettività dal database di destinazione al database di origine tramite un tunnel SSH inverso sicuro. Questo metodo richiede una VM bastion host nel progetto Google Cloud , nonché una macchina (ad esempio un laptop sulla rete) con connettività al database di origine.

Importante: se l'origine si trova all'interno di una VPN (ad esempio in AWS o nella tua VPN on-premise), il profilo di connessione di origine deve utilizzare l'indirizzo IP e la porta della VPN anziché l'indirizzo IP e la porta dell'origine.

Database Migration Service per PostgreSQL raccoglie le informazioni richieste al momento della creazione della migrazione e genera automaticamente lo script per la configurazione.

Consulta il seguente diagramma:

Configurare un tunnel SSH inverso

I seguenti passaggi vengono eseguiti nel flusso di Database Migration Service per la creazione di un job di migrazione, per configurare un tunnel SSH inverso tra il database di origine e l'istanza Cloud SQL. Dopo aver fornito alcuni parametri, esegui un insieme di comandi gcloud su una macchina con connettività sia al database di origine sia a Google Cloud.

1. Seleziona l'istanza VM utilizzata per stabilire la connettività tra il database di origine e l'istanza Cloud SQL. In genere si tratta di una VM in esecuzione nella VPC in cui viene eseguita l'applicazione che accede al nuovo database Cloud SQL. L'istanza VM funge da bastion server del tunnel SSH.

2. A questo scopo puoi utilizzare un'istanza VM Compute Engine esistente.

   1. Scegli l'istanza VM di Compute Engine dall'elenco.

   2. Fornisci una porta libera che il tunnel SSH possa utilizzare.

   Nota: per il funzionamento del tunnel SSH inverso, imposta il parametro "GatewayPorts" su "yes" nel file /etc/ssh/sshd_config sul server di destinazione. Dopo aver aggiornato il file, riavvia il servizio sshd utilizzando il comando sudo systemctl restart sshd.service.
   
   Se non vuoi modificare la configurazione della VM esistente, crea una nuova VM.

3. In alternativa, puoi creare una nuova VM in questo passaggio. Seleziona CREATE A COMPUTE ENGINE VM INSTANCE e lo script generato include le istruzioni per crearlo.

   1. Fornisci un nome per l'istanza VM.

   2. Seleziona un tipo di macchina per la VM.

   3. Specifica una subnet per la VM

   Nota: un'istanza VM Compute Engine creata dallo script non è gestita da Database Migration Service. Se ne viene creata una, la tua organizzazione dovrà pagare l'istanza in base ai prezzi standard e sarà responsabile della relativa gestione, inclusa la cancellazione quando non è più necessaria.

4. Fai clic su VISUALIZZA SCRIPT per visualizzare lo script generato.

   Per impostazione predefinita, lo script genera un indirizzo IP pubblico per il server VM Compute Engine. Se vuoi che l'indirizzo IP sia privato:

   • Modifica il comando gcloud compute instances create aggiungendo il flag --no-address.
   • Modifica il comando gcloud compute ssh aggiungendo il flag --internal-ip.

   Inoltre, se vuoi creare una VM bastion host in una subnet che si trova in un VPC condiviso, modifica il comando export SUBNET_NAME dello script generato in modo che punti a /projects/project_name/regions/region_name/subnetworks/subnetwork_name.

   Ad esempio:

   export SUBNET_NAME=projects/myproject/regions/myregion/subnetworks/mysubnetwork

   project_name è il nome del progetto in cui è posizionato il VPC condiviso. Un progetto ha regioni e subnet. region_name e subnetwork_name sono i nomi della regione e della subnet associati al progetto VPC.

   Assicurati che la sezione delle connessioni di replica del file pg_hba.conf o le definizioni dei gruppi di sicurezza AWS RDS nel database di origine siano aggiornate in modo da accettare connessioni dall'intervallo di indirizzi IP del VPC di Cloud SQL.

5. Esegui lo script su una macchina che ha accesso sia al database di origine sia alla VM Compute Engine. Lo script esegue le seguenti operazioni:

   • Configura la VM Compute Engine come server bastione del tunnel SSH.

   • Stabilisce una connessione SSH sicura tra il database di origine e la VPC.

   • Se stai creando una nuova VM Compute Engine, dopo aver eseguito correttamente lo script, copia l'indirizzo IP del server della VM dall'output dello script e inseriscilo nel campo di testo fornito. L'istanza Cloud SQL verrà aggiornata come necessario quando in un secondo momento testerai o avvierai il job di migrazione.

6. Fai clic su CONFIGURA E CONTINUA.

7. Verifica il job di migrazione per confermare che abbia eseguito correttamente la migrazione dei dati dall'istanza del database di origine all'istanza del database Cloud SQL di destinazione.

8. Se la tua origine si trova all'interno di una VPN (ad esempio in AWS o nella tua VPN on-premise), vai alla sezione sulla collegazione delle VPC tramite VPN per ulteriori informazioni sulla configurazione della VPN di origine e della VPN di Google Cloud in modo che funzionino insieme.

9. Dopo aver configurato il job di migrazione, verificato la connettività e configurato correttamente le VPN, se necessario, puoi eseguire il job.