Configurar a conectividade do IP particular

MySQL   |  PostgreSQL   |  PostgreSQL para AlloyDB

É possível migrar seus dados por redes particulares estabelecendo conectividade entre os endereços IP particulares dos bancos de dados de origem e destino. Para configurar endereços IP particulares para seu banco de dados de destino, use o acesso a serviços particulares ou o Private Service Connect.

Cada método de conexão oferece vantagens e desvantagens distintas. Escolha a abordagem mais adequada para seu cenário. Para mais informações sobre o acesso a serviços particulares e o Private Service Connect no AlloyDB para PostgreSQL, consulte Visão geral do IP particular na documentação do AlloyDB para PostgreSQL.

Configurar a conectividade usando o peering de VPC

O peering de VPC funciona configurando as VPCs para se comunicarem entre si. Se a origem estiver no mesmo projeto Google Cloud no AlloyDB ou no Compute Engine, o destino poderá se comunicar diretamente com a origem. Se a origem estiver acessível com VPN, configure a rede de origem e o Cloud VPN para se comunicarem entre si com a VPN. Para mais informações, consulte conectar VPCs por VPNs.

O encadeamento de VPCs não é compatível. Se a origem estiver em um projeto Google Cloud diferente, consulte Visão geral da VPC compartilhada para saber como conectar recursos de vários projetos a uma rede VPC comum para peering de VPC.

O firewall do servidor de banco de dados de origem precisa ser configurado para permitir todo o intervalo de IPs interno alocado para a conexão de serviço particular da rede VPC que a instância de destino do AlloyDB vai usar.

Para encontrar o intervalo de IP interno no console:

1. Acesse a página "Redes VPC" no console Google Cloud .

2. Selecione a rede VPC que você quer usar.

3. Selecione a guia CONEXÃO DE SERVIÇO PRIVADO.

Verifique se a seção de conexões de replicação do arquivo pg_hba.conf ou as definições dos grupos de segurança no AWS RDS no banco de dados de origem estão atualizadas para aceitar conexões do intervalo de endereços IP da VPC do AlloyDB.

Observação: para usar a rede de nuvem privada virtual, ative a API Service Networking no projeto Google Cloud .

O peering de VPC usa o acesso a serviços particulares, que precisa ser configurado uma vez para cada projeto que usa o peering de VPC. Depois de estabelecer private services access, teste o job de migração para verificar a conectividade.

Como configurar o acesso a serviços particulares para o Database Migration Service

Se você estiver usando o IP privado em alguma das instâncias do Database Migration Service, só precisará configurar o acesso privado a serviços uma vez para cada projeto do Google Cloud que tenha ou precise se conectar a uma instância do Database Migration Service.

Importante: ao criar uma conexão privada entre a rede VPC e o serviço do Database Migration Service, ela fica disponível para uso por qualquer serviço do Google compatível com o acesso a serviços privados. Se você excluir a conexão particular depois, removerá também a conectividade particular das suas instâncias do Database Migration Service e de qualquer outro serviço que use essa conexão. Fazer isso não exclui nem desprovisiona os recursos.

Para estabelecer o acesso a serviços particulares, é necessário ter o papel compute.networkAdmin do IAM. Depois que o acesso a serviços particulares for estabelecido na rede, o papel de compute.networkAdmin do IAM não será mais necessário para configurar uma instância para usar o IP particular.

O Acesso a serviços privados exige que você primeiro aloque um intervalo de endereços IP internos, crie uma conexão privada e exporte uma rota personalizada.

Um intervalo alocado é um bloco CIDR reservado que não pode ser usado na sua rede VPC local. Quando você cria uma conexão particular, especifica uma alocação. A conexão particular vincula sua rede VPC à rede VPC subjacente ("produtor de serviços").

Quando você cria uma conexão particular, a rede VPC e a rede do produtor de serviços trocam apenas rotas de sub-rede. Exporte as rotas personalizadas da rede VPC para que a rede do provedor de serviços possa importá-las e rotear o tráfego corretamente para sua rede local.

Uma configuração de peering estabelece a intent de se conectar a outra rede VPC. Sua rede e a outra só estarão conectadas quando cada uma tiver uma configuração de peering para a outra. Quando a outra rede tiver uma configuração correspondente para fazer peering com a sua, o estado de peering será alterado para ATIVO nas duas redes, que serão conectadas. Se não houver uma configuração de peering correspondente na outra rede, o estado de peering vai permanecer INACTIVE, indicando que sua rede não está conectada à outra.

Depois de conectadas, as duas redes sempre trocam rotas de sub-rede. Uma alternativa é importar rotas personalizadas estáticas e dinâmicas de uma rede com peering se ela tiver sido configurada para exportá-las.

Observação: como uma conexão particular é implementada como uma conexão de Peering de redes VPC, os comportamentos e as restrições de conexões de peering também se aplicam a conexões particulares, como limites do Peering de redes VPC.

Há duas partes no processo de configuração do acesso privado a serviços:

• Alocar um intervalo de endereços IP. O intervalo abrange todas as suas instâncias.
• Criar uma conexão privada da sua rede VPC com a rede do produtor de serviços.

Como alocar um intervalo de endereços IP

Console

1. Acesse a página "Redes VPC" no console Google Cloud .
2. Selecione a rede VPC que você quer usar.
3. Selecione a guia Conexão de serviço particular.
4. Selecione a guia Intervalos de IP alocados para serviços.
5. Clique em Alocar intervalo de IP.

6. Para o Nome do intervalo alocado, especifique google-managed-services-VPC_NETWORK_NAME, em que VPC_NETWORK_NAME é o nome da rede VPC que você está conectando (por exemplo, google-managed-services-default). A Descrição é opcional.

7. Clique em ALOCAR para criar o intervalo alocado.

gcloud

Siga uma destas ações:

• Para especificar um intervalo de endereços e um tamanho de prefixo (máscara de sub-rede), use os sinalizadores addresses e prefix-length. Por exemplo, para alocar o bloco CIDR 192.168.0.0/16, especifique 192.168.0.0 como endereço e 16 como tamanho de prefixo.

  gcloud compute addresses create google-managed-services-[VPC_NETWORK_NAME] \
      --global \
      --purpose=VPC_PEERING \
      --addresses=192.168.0.0 \
      --prefix-length=16 \
      --network=[VPC_NETWORK_NAME]
  

• Para especificar apenas um tamanho de prefixo (máscara de sub-rede), basta usar a sinalização prefix-length. Quando você omite o intervalo de endereços,o Google Cloud seleciona automaticamente um intervalo de endereços não utilizado na sua rede VPC. No exemplo a seguir, é selecionado um intervalo de endereços IP não utilizado com um tamanho de prefixo de 16 bits.

  gcloud compute addresses create google-managed-services-[VPC_NETWORK_NAME] \
      --global \
      --purpose=VPC_PEERING \
      --prefix-length=16 \
      --network=[VPC_NETWORK_NAME]
  

Substitua [VPC_NETWORK_NAME] pelo nome da sua rede VPC, como my-vpc-network.

O exemplo a seguir aloca um intervalo de IP que permite que os recursos na rede VPC my-vpc-network se conectem a instâncias do Database Migration Service usando um IP particular.

gcloud compute addresses create google-managed-services-my-vpc-network \
    --global \
    --purpose=VPC_PEERING \
    --prefix-length=16 \
    --network=my-vpc-network \
    --project=my-project

Como criar uma conexão particular

Console

1. Acesse a página "Redes VPC" no console Google Cloud .
2. Selecione a rede VPC que você quer usar.
3. Selecione a guia Conexão de serviço particular.
4. Selecione a guia Conexões particulares com os serviços.
5. Clique em Criar conexão para criar uma conexão particular entre sua rede e um produtor de serviços.
6. Em Alocação atribuída, selecione um ou mais intervalos alocados que não estejam sendo usados por outros produtores de serviço e clique em OK.
7. Clique em CONECTAR para criar a conexão.

gcloud

1. Crie uma conexão particular.

   gcloud services vpc-peerings connect \
       --service=servicenetworking.googleapis.com \
       --ranges=google-managed-services-[VPC_NETWORK_NAME] \
       --network=[VPC_NETWORK_NAME] \
       --project=[PROJECT_ID]
   

   Substitua [VPC_NETWORK_NAME] pelo nome da rede VPC e [PROJECT_ID] pelo ID do projeto que contém a rede VPC.

   O comando inicia uma operação de longa duração, que retorna um nome de operação.

2. Verifique se a operação foi bem-sucedida.

   gcloud services vpc-peerings operations describe \
       --name=[OPERATION_NAME]
   

   Substitua [OPERATION_NAME] pelo nome da operação retornado na etapa anterior.

É possível especificar mais de um intervalo alocado ao criar uma conexão privada. Por exemplo, se um intervalo tiver sido esgotado, será possível atribuir mais intervalos alocados. O serviço usa endereços IP de todos os intervalos fornecidos na ordem que você especificou.

Exportar rotas personalizadas

Atualize uma conexão atual com o Peering de redes VPC para alterar se sua rede VPC exportará rotas personalizadas para a rede VPC com peering ou as importará dela.

Sua rede importa rotas personalizadas somente se a rede com peering também estiver exportando rotas personalizadas, e a rede com peering recebe rotas personalizadas somente se as importa.

Console

1. Acesse a página "Peering de rede VPC" no console Google Cloud .
   Acessar a página "Peering de redes VPC"
2. Selecione a conexão de peering a ser atualizada.
3. Clique em EDITAR.
4. Atualize as configurações de rotas personalizadas marcando ou desmarcando Importar rotas personalizadas ou Exportar rotas personalizadas.
5. Clique em SALVAR.

gcloud

Atualize a conexão de peering para alterar as configurações de importação ou exportação das rotas personalizadas.

gcloud compute networks peerings update [PEERING-NAME] \
    --network=[MY-LOCAL-NETWORK] \
    [--[no-]import-custom-routes] \
    [--[no-]export-custom-routes]

Como conceder o papel roles/servicenetworking.serviceAgent

  gcloud beta services identity create \
    --service=servicenetworking.googleapis.com \
    --project=project-id

  gcloud projects add-iam-policy-binding project-id \
    --member="[e-mail]" \
    --role="roles/servicenetworking.serviceAgent"

Configurar a conectividade usando interfaces do Private Service Connect

Em migrações homogêneas do AlloyDB para PostgreSQL, o AlloyDB para PostgreSQL pode usar interfaces do Private Service Connect para estabelecer uma conexão em redes particulares. Esse método de conectividade só está disponível quando você migra para uma instância atual.

Para usar as interfaces do Private Service Connect, faça o seguinte:

1. Crie um cluster do AlloyDB para PostgreSQL ativado para o Private Service Connect e uma instância principal nesse cluster. Consulte Ativar o Private Service Connect na documentação do AlloyDB para PostgreSQL.

2. Configure o Private Service Connect para conectividade de saída na sua instância. Consulte Configurar a conectividade de saída na documentação do AlloyDB para PostgreSQL.

   Verifique se a rede VPC em que você cria o anexo de rede é a rede em que é possível acessar o endereço IP particular do banco de dados de origem.

3. Em uma etapa posterior, ao criar o job de migração, selecione Interface do PSC como método de conectividade.