Private IP-Verbindungen konfigurieren

MySQL   |  PostgreSQL   |  PostgreSQL zu AlloyDB

Sie können Ihre Daten über private Netzwerke migrieren, indem Sie eine Verbindung zwischen den privaten IP-Adressen Ihrer Quell- und Zieldatenbanken herstellen. Sie können einen der beiden Ansätze verwenden, um private IP-Adressen für Ihre Zieldatenbank zu konfigurieren. Dazu können Sie den Zugriff auf private Dienste oder Private Service Connect verwenden.

Jede Verbindungsmethode bietet unterschiedliche Vorteile und Nachteile. Wählen Sie den Ansatz, der am besten zu Ihrem Szenario passt. Weitere Informationen zum Zugriff auf private Dienste und zu Private Service Connect in AlloyDB for PostgreSQL finden Sie in der AlloyDB for PostgreSQL-Dokumentation unter Private IP-Adressen – Übersicht.

Verbindung über VPC-Peering konfigurieren

Beim VPC-Peering werden die VPCs für die Kommunikation miteinander konfiguriert. Wenn sich die Quelle im selben Google Cloud Projekt in AlloyDB oder Compute Engine befindet, kann das Ziel direkt mit der Quelle kommunizieren. Wenn Ihre Quelle über ein VPN zugänglich ist, konfigurieren Sie das Quellnetzwerk und Cloud VPN so, dass sie über das VPN miteinander kommunizieren können. Weitere Informationen finden Sie unter VPCs über VPNs verbinden.

VPC-Verkettung wird nicht unterstützt. Wenn sich Ihre Quelle in einem anderen Google Cloud Projekt befindet, lesen Sie den Abschnitt Freigegebene VPC – Übersicht, um zu erfahren, wie Sie Ressourcen aus mehreren Projekten für das VPC-Peering mit einem gemeinsamen VPC-Netzwerk verbinden.

Die Firewall des Quelldatenbankservers muss so konfiguriert sein, dass sie den gesamten internen IP-Adressbereich zulässt, der für die private Dienstverbindung des VPC-Netzwerks zugewiesen ist, das die AlloyDB-Zielinstanz verwenden wird.

So finden Sie den internen IP-Bereich in der Console:

1. Rufen Sie in der Google Cloud Console die Seite „VPC-Netzwerke“ auf.

2. Wählen Sie das VPC-Netzwerk aus, das Sie verwenden möchten.

3. Wählen Sie den Tab PRIVATE DIENSTVERBINDUNG aus.

Achten Sie darauf, dass der Abschnitt für Replikationsverbindungen der Datei pg_hba.conf oder die Sicherheitsgruppendefinitionen in AWS RDS in der Quelldatenbank aktualisiert wurden, sodass Verbindungen aus dem IP-Adressbereich der AlloyDB-VPC akzeptiert werden.

Hinweis: Wenn Sie Virtual Private Cloud-Netzwerke verwenden möchten, müssen Sie die Service Networking API für Ihr Google Cloud -Projekt aktivieren.

Beim VPC-Peering wird der Zugriff auf private Dienste verwendet, der einmal für jedes Projekt mit VPC-Peering konfiguriert werden muss. Nachdem Sie private services access eingerichtet haben, testen Sie den Migrationsjob, um die Verbindung zu prüfen.

Zugriff auf private Dienste für Database Migration Service konfigurieren

Wenn Sie für eine Ihrer Database Migration Service-Instanzen eine private IP-Adresse verwenden, müssen Sie den Zugriff auf private Dienste für jedes Google Cloud-Projekt, das eine Verbindung zu einer Database Migration Service-Instanz hat oder herstellen muss, nur einmal konfigurieren.

Wichtig: Wenn Sie eine private Verbindung zwischen Ihrem VPC-Netzwerk und dem Database Migration Service-Dienst erstellen, steht diese für alle Google-Dienste zur Verfügung, die den Zugriff auf private Dienste unterstützen. Sollten Sie die private Verbindung später einmal löschen, entfernen Sie damit nicht nur die private Verbindung zu Ihren Database Migration Service-Instanzen, sondern auch zu allen anderen Diensten, die diese Verbindung nutzen. Durch das Entfernen der privaten Verbindung werden Ressourcen weder gelöscht noch wird deren Bereitstellung aufgehoben.

Zum Einrichten des Zugriffs auf private Dienste ist die IAM-Rolle compute.networkAdmin erforderlich. Wenn der Zugriff auf private Dienste für Ihr Netzwerk eingerichtet ist, brauchen Sie die IAM-Rolle compute.networkAdmin nicht mehr, um eine Instanz für die Verwendung privater IP-Adressen zu konfigurieren.

Für den Zugriff auf private Dienste müssen Sie zuerst einen internen IP-Adressbereich zuweisen, dann eine private Verbindung erstellen und schließlich eine benutzerdefinierte Route exportieren.

Ein zugewiesener Bereich ist ein reservierter CIDR-Block, der in Ihrem lokalen VPC-Netzwerk nicht verwendet werden kann. Wenn Sie eine private Verbindung erstellen, geben Sie eine Zuweisung an. Über die private Verbindung wird Ihr VPC-Netzwerk mit dem zugrunde liegenden VPC-Netzwerk des Diensterstellers verbunden.

Wenn Sie eine private Verbindung erstellen, tauschen das VPC-Netzwerk und das Netzwerk des Diensterstellers nur Subnetzrouten aus. Sie müssen die benutzerdefinierten Routen des VPC-Netzwerk exportieren, damit das Netzwerk des Dienstanbieters diese importieren und Traffic korrekt an Ihr lokales Netzwerk weiterleiten kann.

Mit einer Peering-Konfiguration wird die Absicht festgeschrieben, eine Verbindung zu einem anderen VPC-Netzwerk herzustellen. Ihr Netzwerk und das andere Netzwerk werden erst dann miteinander verbunden, wenn beide eine Peering-Konfiguration für das jeweils andere Netzwerk haben. Nachdem auch das andere Netzwerk eine entsprechende Konfiguration für das Peering mit Ihrem Netzwerk hat, wechselt der Peering-Status in beiden Netzwerken zu AKTIV und sie sind verbunden. Wenn im anderen Netzwerk keine entsprechende Peering-Konfiguration vorhanden ist, bleibt der Peering-Status INACTIVE und Ihr Netzwerk ist nicht mit dem anderen verbunden.

Sobald die beiden Netzwerke verbunden sind, tauschen sie immer Subnetzrouten aus. Optional können Sie sowohl statische als auch dynamische benutzerdefinierte Routen aus einem Peering-Netzwerk importieren, wenn dieses für ihren Export konfiguriert ist.

Hinweis: Da private Verbindungen als VPC-Netzwerk-Peering-Verbindungen implementiert werden, gelten die Verhaltensweisen und Einschränkungen von Peering-Verbindungen, z. B. die Limits für VPC-Netzwerk-Peering, auch für private Verbindungen.

Die Konfiguration des privaten Zugriffs auf Dienste besteht aus zwei Teilen:

• IP-Adressbereich zuweisen. Der Bereich umfasst alle Ihre Instanzen.
• Private Verbindung von Ihrem VPC-Netzwerk zum Netzwerk des Diensterstellers herstellen.

IP-Adressbereich zuweisen

Console

1. Rufen Sie in der Google Cloud -Console die Seite „VPC-Netzwerke“ auf.
2. Wählen Sie das VPC-Netzwerk aus, das Sie verwenden möchten.
3. Wählen Sie den Tab Private Dienstverbindung aus.
4. Wählen Sie den Tab Diensten zugewiesene IP-Bereiche aus.
5. Klicken Sie auf IP-Bereich zuweisen.

6. Geben Sie unter Name für den zugewiesenen Bereich google-managed-services-VPC_NETWORK_NAME an, wobei VPC_NETWORK_NAME der Name des VPC-Netzwerks ist, zu dem Sie eine Verbindung herstellen, beispielsweise google-managed-services-default. Die Beschreibung ist optional.

7. Klicken Sie auf Zuweisen, um den zugewiesenen Bereich zu erstellen.

gcloud

Führen Sie einen der folgenden Schritte aus:

• Legen Sie einen Adressbereich und eine Präfixlänge (Subnetzmaske) mit den Flags addresses und prefix-length fest. Wenn Sie beispielsweise den CIDR-Block 192.168.0.0/16 zuordnen möchten, geben Sie 192.168.0.0 für die Adresse und 16 für die Präfixlänge an.

  gcloud compute addresses create google-managed-services-[VPC_NETWORK_NAME] \
      --global \
      --purpose=VPC_PEERING \
      --addresses=192.168.0.0 \
      --prefix-length=16 \
      --network=[VPC_NETWORK_NAME]
  

• Wenn Sie nur eine Präfixlänge (Subnetzmaske) angeben möchten, verwenden Sie einfach das Flag prefix-length. Wenn Sie den Adressbereich weglassen,wählt Google Cloudautomatisch einen nicht verwendeten Adressbereich in Ihrem VPC-Netzwerk aus. In diesem Beispiel wird ein nicht verwendeter IP-Adressbereich mit einer Präfixlänge von 16 Bit ausgewählt.

  gcloud compute addresses create google-managed-services-[VPC_NETWORK_NAME] \
      --global \
      --purpose=VPC_PEERING \
      --prefix-length=16 \
      --network=[VPC_NETWORK_NAME]
  

Ersetzen Sie [VPC_NETWORK_NAME] durch den Namen Ihres VPC-Netzwerks, beispielsweise my-vpc-network.

Im folgenden Beispiel wird ein IP-Bereich zugewiesen, mit dem Ressourcen im VPC-Netzwerk my-vpc-network über private IP-Adressen eine Verbindung zu Database Migration Service-Instanzen herstellen können.

gcloud compute addresses create google-managed-services-my-vpc-network \
    --global \
    --purpose=VPC_PEERING \
    --prefix-length=16 \
    --network=my-vpc-network \
    --project=my-project

Private Verbindung erstellen

Console

1. Rufen Sie in der Google Cloud -Console die Seite „VPC-Netzwerke“ auf.
2. Wählen Sie das VPC-Netzwerk aus, das Sie verwenden möchten.
3. Wählen Sie den Tab Private Dienstverbindung aus.
4. Wählen Sie den Tab Private Verbindungen zu Diensten aus.
5. Klicken Sie auf Verbindung erstellen, um eine private Verbindung zwischen Ihrem Netzwerk und einem Dienstersteller herzustellen.
6. Wählen Sie für Zugewiesene Bereiche einen oder mehrere vorhandene zugewiesene Bereiche aus, die nicht von anderen Diensterstellern verwendet werden, und klicken Sie dann auf OK.
7. Klicken Sie auf VERBINDEN, um die Verbindung herzustellen.

gcloud

1. Erstellen Sie eine private Verbindung.

   gcloud services vpc-peerings connect \
       --service=servicenetworking.googleapis.com \
       --ranges=google-managed-services-[VPC_NETWORK_NAME] \
       --network=[VPC_NETWORK_NAME] \
       --project=[PROJECT_ID]
   

   Ersetzen Sie [VPC_NETWORK_NAME] durch den Namen Ihres VPC-Netzwerks und [PROJECT_ID] durch die ID des Projekts, das Ihr VPC-Netzwerk enthält.

   Der Befehl initiiert einen lange laufenden Vorgang und erstellt einen Vorgangsnamen.

2. Prüfen Sie, ob der Vorgang erfolgreich war.

   gcloud services vpc-peerings operations describe \
       --name=[OPERATION_NAME]
   

   Ersetzen Sie [OPERATION_NAME] durch den Vorgangsnamen, der im vorherigen Schritt zurückgegeben wurde.

Sie können mehr als einen zugewiesenen Bereich angeben, wenn Sie eine private Verbindung erstellen. Wenn beispielsweise ein Bereich aufgebraucht ist, können Sie zusätzliche zugewiesene Bereiche zuordnen. Der Dienst verwendet IP-Adressen aus allen bereitgestellten Bereichen in der von Ihnen angegebenen Reihenfolge.

Benutzerdefinierte Routen exportieren

Aktualisieren Sie eine vorhandene VPC-Netzwerk-Peering-Verbindung, um anzupassen, ob das VPC-Netzwerk benutzerdefinierte Routen aus dem Peering-VPC-Netzwerk exportiert oder in dieses importiert.

Ihr Netzwerk importiert benutzerdefinierte Routen nur dann, wenn das Peering-Netzwerk auch benutzerdefinierte Routen exportiert. Genauso erhält das Peering-Netzwerk nur dann benutzerdefinierte Routen, wenn es diese importiert.

Console

1. Rufen Sie in der Google Cloud -Console die Seite „VPC-Netzwerk-Peering“ auf.
   Zur Seite „VPC-Netzwerk-Peering“
2. Wählen Sie die zu aktualisierende Peering-Verbindung aus.
3. Klicken Sie auf BEARBEITEN.
4. Aktualisieren Sie Ihre Einstellungen für benutzerdefinierte Routen, indem Sie Benutzerdefinierte Routen importieren oder Benutzerdefinierte Routen exportieren auswählen bzw. die Auswahl aufheben.
5. Klicken Sie auf SPEICHERN.

gcloud

Aktualisieren Sie die Peering-Verbindung, um Ihre Import- bzw. Exporteinstellungen für benutzerdefinierte Routen anzupassen.

gcloud compute networks peerings update [PEERING-NAME] \
    --network=[MY-LOCAL-NETWORK] \
    [--[no-]import-custom-routes] \
    [--[no-]export-custom-routes]

Rolle roles/servicenetworking.serviceAgent zuweisen

  gcloud beta services identity create \
    --service=servicenetworking.googleapis.com \
    --project=project-id

  gcloud projects add-iam-policy-binding project-id \
    --member="[e-mail]" \
    --role="roles/servicenetworking.serviceAgent"

Verbindung über Private Service Connect-Schnittstellen konfigurieren

Bei homogenen AlloyDB for PostgreSQL-Migrationen kann AlloyDB for PostgreSQL Private Service Connect-Schnittstellen verwenden, um eine Verbindung über private Netzwerke herzustellen. Diese Verbindungsmethode ist nur verfügbar, wenn Sie zu einer vorhandenen Instanz migrieren.

So verwenden Sie Private Service Connect-Schnittstellen:

1. Erstellen Sie einen AlloyDB for PostgreSQL-Cluster, der für Private Service Connect aktiviert ist, und eine primäre Instanz in diesem Cluster. Weitere Informationen finden Sie in der AlloyDB for PostgreSQL-Dokumentation unter Private Service Connect aktivieren.

2. Konfigurieren Sie Private Service Connect für ausgehende Verbindungen auf Ihrer Instanz. Weitere Informationen finden Sie in der AlloyDB for PostgreSQL-Dokumentation unter Ausgehende Verbindungen konfigurieren.

   Achten Sie darauf, dass das VPC-Netzwerk, in dem Sie die Netzwerkverbindung erstellen, das Netzwerk ist, in dem Sie die private IP-Adresse Ihrer Quelldatenbank erreichen können.

3. Wenn Sie später den Migrationsjob erstellen, wählen Sie als Verbindungsmethode PSC-Schnittstelle aus.