Verbindung über umgekehrten SSH-Tunnel konfigurieren

MySQL   |  PostgreSQL   |  PostgreSQL zu AlloyDB

Übersicht

Sie können eine Verbindung von der Ziel-AlloyDB-Datenbank zur Quelldatenbank über einen sicheren umgekehrten SSH-Tunnel herstellen. Für diese Methode ist eine Bastion Host-VM im Google Cloud -Projekt sowie ein Computer (z. B. ein Laptop im Netzwerk) mit einer Verbindung zur Quelldatenbank erforderlich.

Wichtig: Wenn sich Ihre Quelle in einem VPN befindet (z. B. in AWS oder Ihrem eigenen lokalen VPN), sollten Sie in Ihrem Quellverbindungsprofil die VPN-IP-Adresse und den VPN-Port anstelle der Quell-IP-Adresse und des Quell-Ports verwenden.

Der Database Migration Service für PostgreSQL zu AlloyDB erfasst die erforderlichen Informationen beim Erstellen der Migration und generiert automatisch das Script für die Einrichtung.

Siehe das folgende Diagramm:

Umgekehrten SSH-Tunnel einrichten

Die folgenden Schritte werden im Workflow des Database Migration Service zum Erstellen eines Migrationsjobs ausgeführt, um einen umgekehrten SSH-Tunnel zwischen der Quelldatenbank und der AlloyDB-Instanz einzurichten. Nachdem Sie einige Parameter angegeben haben, führen Sie eine Reihe von gcloud-Befehlen auf einem Computer aus, der sowohl eine Verbindung zur Quelldatenbank als auch zu Google Cloudhat.

1. Wählen Sie die VM-Instanz aus, die zum Herstellen einer Verbindung zwischen der Quelldatenbank und der AlloyDB-Instanz verwendet wird. In der Regel ist dies eine VM, die im VPC ausgeführt wird, in dem die Anwendung ausgeführt wird, die auf die neue AlloyDB-Datenbank zugreift. Die VM-Instanz dient als SSH-Tunnel-Bastion-Server.

2. Sie können dazu eine vorhandene Compute Engine-VM-Instanz verwenden.

   1. Wählen Sie in der Liste die Compute Engine-VM-Instanz aus.

   2. Geben Sie einen freien Port an, den der SSH-Tunnel verwenden kann.

   Hinweis: Damit der umgekehrte SSH-Tunnel funktioniert, muss der Parameter „GatewayPorts“ in der Datei /etc/ssh/sshd_config auf dem Zielserver auf „yes“ festgelegt sein. Nachdem Sie die Datei aktualisiert haben, starten Sie den sshd-Dienst mit dem Befehl sudo systemctl restart sshd.service neu.
   
   Wenn Sie die Konfiguration Ihrer vorhandenen VM nicht ändern möchten, erstellen Sie eine neue VM.

3. Alternativ können Sie in diesem Schritt eine neue VM erstellen. Wählen Sie CREATE A COMPUTE ENGINE VM INSTANCE aus. Das generierte Script enthält eine Anleitung zum Erstellen.

   1. Geben Sie einen Namen für die VM-Instanz an.

   2. Wählen Sie einen Maschinentyp für die VM aus.

   3. Subnetz für die VM angeben

   Hinweis: Eine vom Script erstellte Compute Engine-VM-Instanz wird nicht vom Database Migration Service verwaltet. Wenn eine Instanz erstellt wird, wird Ihrer Organisation die Instanz gemäß den Standardpreisen in Rechnung gestellt. Sie ist auch für die Verwaltung der Instanz verantwortlich, einschließlich des Löschens der Instanz, wenn sie nicht mehr benötigt wird.

4. Klicken Sie auf SCRIPT ANSEHEN, um das generierte Script aufzurufen.

   Standardmäßig generiert das Script eine öffentliche IP-Adresse für den Compute Engine-VM-Server. Wenn die IP-Adresse privat sein soll, gehen Sie so vor:

   • Ändern Sie den Befehl gcloud compute instances create, indem Sie das Flag --no-address hinzufügen.
   • Ändern Sie den Befehl gcloud compute ssh, indem Sie das Flag --internal-ip hinzufügen.

   Wenn Sie eine Bastion Host-VM in einem Subnetz in einer freigegebenen VPC erstellen möchten, ändern Sie den Befehl export SUBNET_NAME im generierten Script so, dass er auf /projects/project_name/regions/region_name/subnetworks/subnetwork_name verweist.

   Beispiel:

   export SUBNET_NAME=projects/myproject/regions/myregion/subnetworks/mysubnetwork

   project_name ist der Name des Projekts, in dem sich das freigegebene VPC befindet. Ein Projekt hat Regionen und Subnetzwerke. region_name und subnetwork_name sind die Namen der Region und des Subnetzwerks, die mit dem VPC-Projekt verknüpft sind.

   Achten Sie darauf, dass der Abschnitt für Replikationsverbindungen der Datei pg_hba.conf oder die AWS RDS-Sicherheitsgruppendefinitionen in der Quelldatenbank aktualisiert wurden, sodass Verbindungen aus dem IP-Adressbereich der AlloyDB-VPC akzeptiert werden.

5. Führen Sie das Script auf einem Computer aus, der sowohl auf die Quelldatenbank als auch auf die Compute Engine-VM zugreifen kann. Das Script führt die folgenden Vorgänge aus:

   • Konfiguriert die Compute Engine-VM als Bastion Host für SSH-Tunnel.

   • Stellt eine sichere SSH-Verbindung zwischen der Quelldatenbank und dem VPC her.

   • Wenn Sie eine neue Compute Engine-VM erstellen, kopieren Sie nach dem erfolgreichen Ausführen des Scripts die IP-Adresse des VM-Servers aus der Skriptausgabe und geben Sie sie in das dafür vorgesehene Textfeld ein. Die AlloyDB-Instanz wird bei Bedarf aktualisiert, wenn Sie den Migrationsjob später testen oder starten.

6. Klicken Sie auf KONFIGURIEREN UND WEITER.

7. Prüfen Sie den Migrationsjob, um sicherzustellen, dass die Daten korrekt aus der Quelldatenbankinstanz in die Zieldatenbankinstanz in AlloyDB migriert wurden.

8. Wenn sich Ihre Quelle in einem VPN befindet (z. B. in AWS oder Ihrem eigenen lokalen VPN), lesen Sie den Abschnitt VPCs über VPNs verbinden. Dort finden Sie weitere Informationen zum Konfigurieren des Quell-VPNs und des Google Cloud-VPNs für die gemeinsame Nutzung.

9. Nachdem der Migrationsjob konfiguriert, die Verbindung überprüft und gegebenenfalls VPNs konfiguriert wurden, können Sie den Job ausführen.