Opzioni di connettività di rete

Panoramica

Per utilizzare Datastream per creare un flusso dal database di origine alla destinazione, devi stabilire la connettività al database di origine.

Datastream supporta i metodi di connettività di rete della lista consentita IP, del tunnel SSH di forwarding e del peering VPC.

Utilizza le informazioni nella tabella seguente per decidere quale metodo è più adatto a te per il tuo carico di lavoro specifico.

Metodo di networking	Descrizione	Vantaggi	Svantaggi
Lista consentita IP	Funziona configurando il server del database di origine in modo da consentire le connessioni in entrata dagli indirizzi IP pubblici di Datastream. Per scoprire gli indirizzi IP per le tue regioni, vedi Liste consentite e regioni IP.	Facile da configurare	Il database di origine è esposto a un indirizzo IP pubblico. Per impostazione predefinita, la connessione non è criptata. Per criptare la connessione, è necessario abilitare SSL sul database di origine. La configurazione del firewall potrebbe richiedere assistenza da parte del reparto IT.
Tunnel SSH di forwarding (Questo metodo non è supportato per le origini SQL Server)	Stabilisci una connessione criptata su reti pubbliche tra Datastream e l'origine tramite un tunnel SSH di forwarding. Scopri di più sui tunnel SSH.	Sicurezza	Larghezza di banda limitata Devi configurare e gestire il bastion host.
Peering VPC	Funziona mediante la creazione di una configurazione di connettività privata. Datastream utilizza questa configurazione per comunicare con l'origine dati su una rete privata. Questa comunicazione avviene tramite una connessione di peering Virtual Private Cloud (VPC).	Canale privato sicuro Facile da configurare	Richiede una connessione di rete privata (VPN, Interconnect e così via) tra il database e Google Cloud.

Configura la connettività utilizzando le liste consentite IP

Affinché Datastream possa trasferire i dati da un database di origine a una destinazione, Datastream deve prima connettersi a questo database.

Un modo per configurare questa connettività è mediante liste consentite di IP. La connettività con IP pubblico è più appropriata quando il database di origine è esterno a Google Cloud e ha un indirizzo IPv4 e una porta TCP accessibili dall'esterno.

Se il database di origine è esterno a Google Cloud, aggiungi gli indirizzi IP pubblici di Datastream come regola firewall in entrata sulla rete di origine. In termini generici (le tue impostazioni di rete specifiche potrebbero variare):

1. Apri le regole firewall di rete della macchina del database di origine.

2. Crea una regola in entrata.

3. Imposta l'indirizzo IP del database di origine sugli indirizzi IP di Datastream.

4. Imposta il protocollo su TCP.

5. Imposta la porta associata al protocollo TCP su 1521.

6. Salva la regola firewall e poi esci.

Utilizza un tunnel SSH

Questo metodo non è supportato per le origini SQL Server.

Passaggio 1: scegli un host su cui terminare il tunnel

Il primo passaggio per configurare l'accesso al tunnel SSH per il tuo database consiste nel scegliere l'host che verrà utilizzato per terminare il tunnel. Il tunnel può essere terminato sull'host del database stesso o su un host separato (il server del tunnel).

Utilizzare il server di database

La terminazione del tunnel sul database presenta il vantaggio della semplicità. Poiché è coinvolto un host in meno, non ci sono macchine aggiuntive e i relativi costi. Lo svantaggio è che il server di database potrebbe trovarsi su una rete protetta che non ha accesso diretto da internet.

Utilizza un server di tunnel

La terminazione del tunnel su un server separato presenta il vantaggio di mantenere il server di database inaccessibile da internet. Se il server del tunnel è compromesso, deve essere rimosso in un solo passaggio dal server di database. Ti consigliamo di rimuovere tutti gli utenti e il software non essenziali dal server del tunnel e di monitorarlo attentamente con strumenti come un sistema di rilevamento delle intrusioni (IDS).

Il server del tunnel può essere qualsiasi host Unix o Linux che:

1. È possibile accedervi da internet tramite SSH.
2. Possono accedere al database.

Per i servizi gestiti, il server del tunnel deve essere esterno al database di origine. Se il database di origine è ospitato autonomamente, puoi configurare il server del tunnel sullo stesso server o sulla stessa macchina virtuale (VM) che esegue il database di origine.

Passaggio 2: crea una lista consentita IP

Il secondo passaggio per configurare l'accesso al tunnel SSH per il tuo database consiste nel consentire al traffico di rete di raggiungere il server del tunnel o l'host del database tramite SSH, che generalmente si trova sulla porta TCP 22.

Consenti il traffico di rete da ciascuno degli indirizzi IP per la regione in cui vengono create le risorse Datastream.

Passaggio 3: utilizza il tunnel SSH

Fornisci i dettagli del tunnel nella configurazione del profilo di connessione. Per ulteriori informazioni, consulta Creare un profilo di connessione.

Per autenticare la sessione del tunnel SSH, Datastream richiede la password dell'account del tunnel o una chiave privata univoca. Per utilizzare una chiave privata univoca, puoi utilizzare gli strumenti a riga di comando OpenSSH o OpenSSL per generare le chiavi.

Datastream archivia la chiave privata in modo sicuro come parte della configurazione del profilo di connessione Datastream. Devi aggiungere manualmente la chiave pubblica al file ~/.ssh/authorized_keys del bastion host.

Genera chiavi private e pubbliche

Puoi generare le chiavi SSH utilizzando il seguente metodo:

• ssh-keygen: uno strumento a riga di comando OpenSSH per generare coppie di chiavi SSH.

  Segnalazioni utili:

  • -t: specifica il tipo di chiave da creare, ad esempio:

    ssh-keygen -t rsa

    ssh-keygen -t ed25519

  • -b: specifica la lunghezza della chiave nella chiave da creare, ad esempio:

    ssh-keygen -t rsa -b 2048

  • -y: legge un file in formato OpenSSH privato e stampa una chiave pubblica OpenSSH nell'output standard.

  • -f: specifica il nome del file della chiave, ad esempio:

    ssh-keygen -y [-f KEY_FILENAME]

  Per ulteriori informazioni sui flag supportati, consulta la documentazione di OpenBSD.

Puoi generare una chiave PEM privata utilizzando il seguente metodo:

• openssl genpkey: uno strumento a riga di comando OpenSSL per generare una chiave privata PEM.

  Segnalazioni utili:

  • algorithm: specifica l'algoritmo di chiave pubblica da utilizzare, ad esempio:

    openssl genpkey -algorithm RSA

  • -out: specifica il nome del file su cui generare la chiave, ad esempio:

    openssl genpkey -algorithm RSA -out PRIVATE_KEY_FILENAME.pem

    Per utilizzare la chiave generata da questo comando, devi generare una chiave OpenSSH pubblica utilizzando il seguente comando:

    ssh-keygen -y -f PRIVATE_KEY_FILENAME.pem > PUBLIC_KEY_FILENAME.pub.

    Dopodiché puoi aggiungere la chiave PUBLIC_KEY_FILENAME.pub al file ~/.ssh/authorized_keys.

  Per ulteriori informazioni sui flag supportati, consulta la documentazione di OpenSSL.

Usa connettività privata

La connettività privata è una connessione tra la tua rete VPC e la rete privata di Datastream che consente a Datastream di comunicare con le risorse interne utilizzando indirizzi IP interni. L'utilizzo della connettività privata stabilisce una connessione dedicata sulla rete Datastream, il che significa che nessun altro cliente può condividerla.

Se il tuo database di origine è esterno a Google Cloud, la connettività privata consente a Datastream di comunicare con il tuo database tramite VPN o Interconnect.

Dopo aver creato una configurazione di connettività privata, una singola configurazione può servire tutti i flussi di un progetto all'interno di una singola regione.

A livello generale, per stabilire una connettività privata è necessario:

• Un VPC (Virtual Private Cloud) esistente
• Un intervallo IP disponibile con un blocco CIDR di /29

Se il tuo progetto utilizza un VPC condiviso, dovrai anche abilitare le API Datastream e Google Compute Engine, nonché concedere le autorizzazioni all'account di servizio Datastream nel progetto host.

Scopri di più su come creare una configurazione di connettività privata.

Puoi utilizzare la connettività privata per connettere Datastream a qualsiasi origine. Tuttavia, solo le reti VPC con peering diretto possono comunicare tra loro.

Il peering transitivo non è supportato. Se la rete con cui Datastream è connesso in peering non è quella su cui è ospitata l'origine, è necessario un proxy inverso.

Per saperne di più, consulta Connettività privata.