Options de connectivité réseau

Présentation

Pour utiliser Datastream afin de créer un flux depuis la base de données source vers la destination, vous devez établir la connectivité à la base de données source.

Datastream est compatible avec les listes d'autorisation d'adresses IP, les tunnels SSH de transfert et les méthodes de connectivité réseau d'appairage VPC.

Utilisez les informations du tableau suivant pour choisir la méthode la plus adaptée à votre charge de travail spécifique.

Méthode de mise en réseau Description Avantages Inconvénients
Liste d'autorisation d'adresses IP

Vous allez configurer le serveur de base de données source pour autoriser les connexions entrantes provenant des adresses IP publiques de Datastream. Pour trouver les adresses IP correspondant à vos régions, consultez Listes d'autorisation d'adresses IP et régions.

  • Facile à configurer.
  • La base de données source est exposée à une adresse IP publique.
  • La connexion n'est pas chiffrée par défaut. Pour chiffrer la connexion, SSL doit être activé sur la base de données source.
  • La configuration du pare-feu peut nécessiter l'aide du service informatique.
Tunnel SSH de transfert

Établissez une connexion chiffrée via des réseaux publics entre Datastream et la source, via un tunnel SSH de transfert.

En savoir plus sur les tunnels SSH.

  • Sécurité
  • Bande passante limitée
  • Vous devez configurer et gérer l'hôte bastion.
Appairage de VPC Fonctionne en créant une configuration de connectivité privée. Datastream utilise cette configuration pour communiquer avec la source de données via un réseau privé. Cette communication se fait via une connexion d'appairage de cloud privé virtuel (VPC).
  • Canal privé et sécurisé
  • Facile à configurer.
  • Nécessite une connexion réseau privée (VPN, Interconnect, etc.) entre la base de données et Google Cloud.

Configurer la connectivité à l'aide des listes d'autorisation d'adresses IP

Pour que DataStream puisse transférer des données d'une base de données source vers une destination, il doit d'abord se connecter à cette base de données.

Pour configurer cette connectivité, vous pouvez utiliser des listes d'autorisations d'adresses IP. La connectivité IP publique est la plus appropriée lorsque la base de données source est externe à Google Cloud et qu'elle dispose d'une adresse IPv4 et d'un port TCP accessibles en externe.

Si votre base de données source est externe à Google Cloud, ajoutez les adresses IP publiques de Datastream en tant que règle de pare-feu entrante sur le réseau source. En termes génériques (vos paramètres réseau spécifiques peuvent varier), procédez comme suit :

  1. Ouvrez les règles de pare-feu réseau de votre machine de base de données source.

  2. Créez une règle entrante.

  3. Définissez l'adresse IP de la base de données source sur les adresses IP de Datastream.

  4. Définissez le protocole sur TCP.

  5. Définissez le port associé au protocole TCP sur 1521.

  6. Enregistrez la règle de pare-feu, puis quittez.

Utiliser un tunnel SSH

Étape 1 : Choisir l'hôte sur lequel mettre fin au tunnel

La première étape de la configuration de l'accès du tunnel SSH pour votre base de données consiste à choisir l'hôte qui sera utilisé pour mettre fin au tunnel. Le tunnel peut être arrêté sur l'hôte de base de données lui-même ou sur un hôte distinct (le serveur du tunnel).

Utiliser le serveur de base de données

La suppression du tunnel sur la base de données présente l'avantage d'être simple. Comme il y a moins d'hôtes impliqués, il n'y a pas de machines supplémentaires ni leurs coûts associés. L'inconvénient est que votre serveur de base de données peut se trouver sur un réseau protégé sans accès direct via Internet.

Utiliser un serveur de tunnels

La fermeture du tunnel sur un serveur distinct présente l'avantage de garder votre serveur de base de données inaccessible depuis Internet. Si le serveur du tunnel est compromis, une étape est supprimée du serveur de base de données. Nous vous recommandons de supprimer tous les logiciels et les utilisateurs non essentiels du serveur du tunnel et de surveiller étroitement ce dernier à l'aide d'outils tels qu'un système de détection des intrusions (IDS).

Le serveur du tunnel peut être un hôte Unix/Linux qui :

  1. Est accessible sur Internet via SSH.
  2. Peut accéder à la base de données.

Étape 2 : Créer une liste d'autorisation d'adresses IP

La deuxième étape de la configuration de l'accès du tunnel SSH pour votre base de données consiste à autoriser le trafic réseau à atteindre le serveur du tunnel ou l'hôte de la base de données via SSH, généralement sur le port TCP 22.

Autorisez le trafic réseau à partir de chacune des adresses IP de la région dans laquelle les ressources Datastream sont créées.

Étape 3 : Utiliser le tunnel SSH

Spécifiez les détails du tunnel dans la configuration du profil de connexion. Pour en savoir plus, consultez la section Créer un profil de connexion.

Pour authentifier la session de tunnel SSH, Datastream requiert le mot de passe du compte du tunnel ou une clé privée unique. Pour utiliser une clé privée unique, vous pouvez utiliser les outils de ligne de commande OpenSSL afin de générer une paire de clés, composée d'une clé privée et d'une clé publique.

La clé privée est stockée de manière sécurisée par Datastream dans le cadre de la configuration de son profil de connexion. Vous devez ajouter manuellement la clé publique au fichier ~/.ssh/authorized_hosts de l'hôte bastion.

Utiliser une connectivité privée

La connectivité privée est une connexion entre votre réseau VPC et le réseau privé de Datastream, qui permet à Datastream de communiquer avec des ressources internes à l'aide d'adresses IP internes. L'utilisation d'une connectivité privée établit une connexion dédiée sur le réseau Datastream, ce qui signifie qu'aucun autre client ne peut partager cette connexion.

Si votre base de données source est externe à Google Cloud, la connectivité privée permet à Datastream de communiquer avec votre base de données via VPN ou Interconnect.

Une fois qu'une configuration de connectivité privée est créée, une seule configuration peut desservir tous les flux d'un projet au sein d'une même région.

En règle générale, l'établissement d'une connectivité privée nécessite les éléments suivants :

  • Un cloud privé virtuel (VPC) existant
  • Une plage d'adresses IP disponible avec un bloc CIDR minimal de /29

Si votre projet utilise un VPC partagé, vous devez également activer les API Datastream et Google Compute Engine, et accorder des autorisations au compte de service de Datastream sur le projet hôte.

Découvrez comment créer une configuration de connectivité privée.