Si tu base de datos de origen está dentro de una VPN (en AWS, por ejemplo, o en tu VPN local), también debes usar una VPN en el destino para conectarte al origen.
Hay muchos productos de VPN que puedes usar. Los pasos para configurar una VPN varían de un producto a otro, pero todos son fundamentalmente similares. En esta sección se incluyen ejemplos con redes VPN de AWS y Google Cloud .
En el lado de Google Cloud , crea una Cloud VPN mediante enrutamiento estático.
En conjunto, la secuencia general de pasos es la siguiente:
En la Google Cloud consola > Redes de VPC > Direcciones IP externas, reserva una dirección IP estática para usarla en Cloud VPN.
En la consola de VPC de AWS:
Crea una pasarela de cliente.
Crea una pasarela privada virtual o añade una que ya tengas a la VPC asociada a tu base de datos.
En Tablas de rutas, añade la propagación de rutas:
Haz clic en Editar, marca la casilla Propagar y haz clic en Guardar para añadir el intervalo de direcciones IP de tu red de VPC Google Cloud como intervalo de destino.
En la consola de VPC de AWS, crea la VPN:
En Conexiones VPN, selecciona Conexiones VPN de sitio a sitio.
Selecciona Crear conexión VPN.
Introduce un nombre para la conexión VPN.
En Virtual Private Gateway (Gateway privado virtual), selecciona el gateway privado que has creado o seleccionado anteriormente en este procedimiento.
En Customer Gateway, selecciona la pasarela de cliente que has creado anteriormente en este procedimiento.
En Opciones de enrutamiento, selecciona Estático y especifica la dirección IP estática que has reservado para Cloud VPN como CIDR (añade /32).
Descarga la configuración para guardar los ajustes.
Guarda el archivo como Default.
Busca las secciones Túneles IP Sec 1 y 2.
Anota la versión de IKE y la clave precompartida de cada túnel.
Anota la dirección IP de la Virtual Private Gateway de cada túnel.
Anota la dirección IP de la opción de configuración de ruta estática de cada túnel.
En la Google Cloud consola > Conectividad híbrida > VPN:
Haz clic en Crear conexión VPN.
Selecciona tu red de VPC y tu región.
En el caso de Cloud VPN, usa la dirección IP estática que has reservado anteriormente en este procedimiento.
Usa un Pre-shared key y un tipo de clave de la configuración de AWS que has descargado anteriormente en este procedimiento.
Selecciona la opción de enrutamiento Basado en rutas y añade dos túneles. En el campo Intervalo de IPs de red remota de cada túnel, usa una dirección IP de la opción Configuración de ruta estática de las secciones IP Sec Tunnel del archivo de configuración de AWS que has descargado anteriormente en este procedimiento.
Haz clic en Crear.Intervalo de IP de red remota
En la consola de AWS RDS:
Selecciona un grupo de seguridad.
Añade reglas de cortafuegos de entrada para permitir todos los protocolos y puertos de Cloud VPN.
Los túneles VPN deberían empezar a comunicarse en breve. En el lado de AWS, en el panel de control de VPC, los estados de los túneles son UP. En GCP, consulta el tráfico entre las VPNs en la consola Cloud Logging del proyecto Cloud VPN gateway.
Ejemplo 2: AWS con una VPN de alta disponibilidad de Google Cloud con rutas dinámicas
Para obtener el emparejamiento de VPC con una VPN de alta disponibilidad (rutas dinámicas) en AWS, debes exportar rutas BGP a la VPC emparejada de AlloyDB y crear una ruta anunciada personalizada en Cloud Router para la ruta importada de la VPC emparejada de AlloyDB. En ese momento, Cloud Router anuncia las rutas de AWS a la VPC de AlloyDB y viceversa. Las reglas de cortafuegos de ambos lados también deben coincidir con el CIDR de la ruta de peering de AlloyDB.
En AWS, puede seguir los tres primeros pasos del ejemplo 1, excepto que debe seleccionar Dinámico en lugar de Estático en Opciones de enrutamiento.
Selecciona tu configuración de emparejamiento de VPC de AlloyDB en la consola y anota los intervalos de direcciones IP de destino en RUTAS IMPORTADAS.
Para obtener más información, consulta el artículo Importar y exportar rutas personalizadas.
Edita este emparejamiento de VPCs y marca Import Custom Routes y Export Custom Routes en los detalles de la conexión de emparejamiento de VPCs. A continuación, haz clic en GUARDAR.
El peering ahora recibe rutas dinámicas de tu VPC, como las rutas procedentes de peers de BGP. De esta forma, se permite el tráfico de la VPN a la red emparejada.
Sin embargo, Cloud Router aún no anuncia esta ruta a otras redes.
Para ello, debes añadir rutas anunciadas personalizadas en Cloud Router para que tu VPC anuncie las rutas importadas a otras redes. Para obtener más información, consulta el artículo Importar y exportar rutas personalizadas.
Añade tu DESTINATION_IP_RANGE intervalo de direcciones IP personalizadas como ruta personalizada en las rutas anunciadas de la configuración de Cloud Router. Las redes emparejadas por BGP ahora reciben anuncios de las rutas de red de AlloyDB importadas, DESTINATION_IP_RANGE. El tráfico de esas redes conectadas por VPN que se dirige a la VPC emparejada de AlloyDB ahora se enruta a través del túnel VPN.
Permite que las rutas se propaguen en las tablas de enrutamiento de AWS. Asegúrate de que las tablas de rutas de AWS
de las subredes que contienen tu base de datos de origen tengan una entrada para el intervalo DESTINATION_IP_RANGE que se dirige a la pasarela privada virtual de la VPN.
Añade una regla de cortafuegos de entrada de grupo de seguridad para permitir el tráfico de
DESTINATION_IP_RANGETCP port 5432.
Ahora se puede establecer la conectividad.
[[["Es fácil de entender","easyToUnderstand","thumb-up"],["Me ofreció una solución al problema","solvedMyProblem","thumb-up"],["Otro","otherUp","thumb-up"]],[["Es difícil de entender","hardToUnderstand","thumb-down"],["La información o el código de muestra no son correctos","incorrectInformationOrSampleCode","thumb-down"],["Me faltan las muestras o la información que necesito","missingTheInformationSamplesINeed","thumb-down"],["Problema de traducción","translationIssue","thumb-down"],["Otro","otherDown","thumb-down"]],["Última actualización: 2025-08-21 (UTC)."],[[["\u003cp\u003eTo connect a source database within a VPN (like AWS or on-premises) to an AlloyDB destination, a VPN must also be established on the destination side.\u003c/p\u003e\n"],["\u003cp\u003eThe source database server's firewall needs to be configured to allow traffic from the internal IP range designated for the private service connection of the AlloyDB destination's VPC network.\u003c/p\u003e\n"],["\u003cp\u003eSetting up a VPN between AWS and Google Cloud can be achieved using either static routing (Classic VPN) or dynamic routing (HA VPN), each with specific configuration steps on both platforms.\u003c/p\u003e\n"],["\u003cp\u003eWhen using HA VPN with dynamic routes, you must export BGP routes to the AlloyDB peered VPC and create a custom advertised route in Cloud Router for the imported route.\u003c/p\u003e\n"],["\u003cp\u003eWith dynamic routes, ensure that firewall rules on both the AWS and Google cloud sides match the AlloyDB peering route CIDR, and that routes are allowed to propagate in the AWS route tables.\u003c/p\u003e\n"]]],[],null,["# Configure connectivity using VPNs\n\n\u003cbr /\u003e\n\n[MySQL](/database-migration/docs/mysql/configure-connectivity-vpns \"View this page for the MySQL version of Database Migration Service.\") \\| [PostgreSQL](/database-migration/docs/postgres/configure-connectivity-vpns \"View this page for the PostgreSQL version of Database Migration Service.\") \\| PostgreSQL to AlloyDB\n\n\u003cbr /\u003e\n\n\u003cbr /\u003e\n\n\u003cbr /\u003e\n\nOverview\n--------\n\nIf your source database is inside a VPN (in AWS, for example, or your\non-premises VPN), you also need to use a VPN on the destination side to connect\nto the source.\n\nThere are many VPN products you can use. The steps to configure VPNs vary from\none product to another, but all of them are fundamentally similar. This section\ncontains examples using AWS and Google Cloud VPNs.\n\nThe source database server's firewall must be configured to allow the entire **internal\nIP range** allocated for the **private service connection** of the\n[VPC network that the AlloyDB destination instance is going to use](/database-migration/docs/postgresql-to-alloydb/create-migration-job#dest).\n\nTo find the **internal IP range** in the console:\n\n1. [Go to the VPC networks page](https://console.cloud.google.com/networking/networks/list) in the Google Cloud console.\n\n2. Select the VPC network that you want to use.\n\n3. Select **Private services access** \\\u003e **Allocated IP ranges for services**.\n\n4. Find the **Internal IP range** associated with the connection created by **servicenetworking-googleapis-com**.\n\n| Note: To use Virtual Private Cloud networking, you must enable the [Service Networking API](https://console.cloud.google.com/apis/library/servicenetworking.googleapis.com) for your Google Cloud project.\n\nExample 1: AWS with Google Cloud Classic VPN with static routes\n---------------------------------------------------------------\n\nFind more complete, step-by-step documentation in the following links:\n\n- On the AWS side, set up a [Site to Site VPN](https://docs.aws.amazon.com/vpn/latest/s2svpn/SetUpVPNConnections.html).\n- On the Google Cloud side, create a [Cloud VPN](/vpn/docs/how-to/creating-static-vpns) using static routing.\n\n\u003cbr /\u003e\n\nPut together, the overall sequence of steps looks like the following:\n\n1. In Google Cloud console \\\u003e VPC Networks \\\u003e External IP addresses, reserve a static IP address to use for the Cloud VPN.\n2. In the AWS VPC console:\n 1. Create a customer gateway.\n 2. Create a new virtual private gateway or add an existing one to the VPC associated with your database.\n 3. In **Routes Tables** add **route propagation**:\n 4. Click **Edit** , check the **propagate** checkbox and **Save** to add the IP address range of your Google Cloud VPC network as the destination range.\n3. In the AWS VPC console, create the VPN:\n 1. Under **VPN Connections** , select **Site-to-site VPN Connections**.\n 2. Select **Create VPN Connection**.\n 3. Enter a name for the VPN connection.\n 4. For **Virtual Private Gateway**, select the private gateway that you created or selected earlier in this procedure.\n 5. For **Customer Gateway**, select the customer gateway that you created earlier in this procedure.\n 6. For **Routing Options** , select **Static**, and specify the static IP address you reserved for the Cloud VPN as a CIDR (add /32).\n 7. Download the configuration to save the settings.\n 1. Save the file as **Default**.\n 2. Find the sections **IP Sec Tunnels** #1 and #2.\n 3. Note the IKE version and **Pre-Shared Key** for each tunnel.\n 4. Note the IP address for the **Virtual Private Gateway** for each tunnel.\n 5. Note the IP address for the **Static Route Configuration option** for each tunnel.\n4. In Google Cloud, create a [Classic VPN using static routing](/vpn/docs/how-to/creating-static-vpns).\n 1. In Google Cloud console \\\u003e Hybrid Connectivity \\\u003e VPN:\n 2. Click **Create VPN connection** .\n 1. Select your VPC network and region.\n 2. For the Cloud VPN, use the static IP address you reserved earlier in this procedure.\n 3. Use a `Pre-shared key` and key type from the AWS configuration you downloaded earlier in this procedure.\n 4. Select the **Route based** routing option and add two tunnels; for each tunnel's **Remote network IP range** field, use an IP address for the **Static Route Configuration option** from the `IP Sec Tunnel` sections of the AWS configuration file you downloaded earlier in this procedure.\n 5. Click **Create** .**Remote network IP range**\n\n\u003c!-- --\u003e\n\n5. In the AWS RDS console:\n 1. Select a security group.\n 2. Add inbound firewall rules to allow all protocols and ports from the Cloud VPN.\n\nThe VPN tunnels should begin communicating shortly. On the AWS side, in the\nVPC Dashboard, the tunnel statuses are `UP`. On the GCP\nside, view the traffic between the VPNs in the\n[Cloud Logging](https://console.cloud.google.com/logs) console in the\n`Cloud VPN gateway` project.\n\nExample 2: AWS with Google Cloud HA VPN with dynamic routes\n-----------------------------------------------------------\n\nTo get VPC Peering with an HA VPN (dynamic routes) to AWS, you need to export BGP routes to the AlloyDB peered VPC, and create a custom advertised route in Cloud Router for the AlloyDB peered VPC imported route. At that point, Cloud Router is advertising AWS routes to the AlloyDB VPC and the other way around. The firewall rules on both sides also need to match the AlloyDB peering route CIDR.\n\nOn the AWS side, you can follow the first three steps in [Example 1](#static-routes),\nexcept select **Dynamic** instead of **Static** under **Routing options**.\n\n1. Select your AlloyDB VPC Peering configuration in the [Console](https://console.cloud.google.com/networking/peering) and note the **Destination IP ranges** under **IMPORTED ROUTES** . For more information, see [Importing and exporting custom routes](/vpc/docs/vpc-peering#importing-exporting-routes).\n2. Edit this VPC peering and check `Import Custom Routes` and `Export Custom Routes` in the VPC Peering connection details, and click **SAVE** .\n\n The peering now receives dynamic routes from your VPC like the routes\n coming from BGP peers. This allows traffic from the VPN to the peered network.\n However, Cloud Router is not yet advertising this route to other networks.\n To do so, you need to add custom advertised routes in the Cloud Router so\n that your VPC advertises the imported routes to other networks. For more\n information, see [Importing and exporting custom routes](/network-connectivity/docs/router/concepts/advertised-routes#overview-am).\n3. Add your \u003cvar translate=\"no\"\u003eDESTINATION_IP_RANGE\u003c/var\u003e custom IP range as a custom route in the Cloud Router configuration advertised routes. BGP peered networks are now receiving advertisements of the **imported AlloyDB\n network routes** , \u003cvar translate=\"no\"\u003eDESTINATION_IP_RANGE\u003c/var\u003e. Traffic on those VPN-connected networks bound for the AlloyDB peered VPC are now routed through the VPN tunnel.\n4. Allow routes to propagate in AWS route tables. Make sure AWS route tables for the subnets that contain your source database contain an entry for the \u003cvar translate=\"no\"\u003eDESTINATION_IP_RANGE\u003c/var\u003e range that routes to the VPN Virtual Private Gateway.\n5. Add a security group firewall inbound rule to allow traffic for \u003cvar translate=\"no\"\u003eDESTINATION_IP_RANGE\u003c/var\u003e `TCP port 5432`. Connectivity can now be established."]]
