Private IP-Adresse konfigurieren

Auf dieser Seite wird beschrieben, wie Sie eine Cloud SQL-Instanz für die Verwendung von privaten IP-Adressen konfigurieren.

Informationen zur Funktionsweise privater IP-Adressen sowie zu den Anforderungen an Umgebung und Verwaltung finden Sie unter Private IP-Adressen.

Vorbereitung

API- und IAM-Anforderungen

  • Sie müssen die Service Networking API für Ihr Projekt aktivieren.
  • Wenn Sie ein freigegebenes VPC-Netzwerk verwenden, müssen Sie diese API auch für das Hostprojekt aktivieren.

  • Um eine Zugriffsverbindung für private Dienste zu verwalten, sollte der Nutzer die folgenden IAM-Berechtigungen haben. Wenn Sie nicht die erforderlichen Berechtigungen haben, können Fehler auftreten.
    • compute.networks.list
    • compute.addresses.create
    • compute.addresses.list
    • servicenetworking.services.addPeering

    Wenn Sie ein freigegebenes VPC-Netzwerk verwenden, müssen Sie den Nutzer auch dem Hostprojekt hinzufügen und ihm dort dieselbe Berechtigung zuweisen.

Zugriff auf private Dienste

Wenn Sie in Ihrem Projekt ein neues VPC-Netzwerk erstellen, müssen Sie den Zugriff auf private Dienste konfigurieren, um einen IP-Adressbereich zuzuweisen und eine private Dienstverbindung zu erstellen. So können Ressourcen im VPC-Netzwerk eine Verbindung zu Cloud SQL-Instanzen herstellen. Die Konsole bietet einen Assistenten, der Sie bei der Einrichtung dieser Konfiguration unterstützt.

Instanz für die Verwendung privater IP-Adressen konfigurieren

Sie können eine Cloud SQL-Instanz so konfigurieren, dass beim Erstellen der Instanz oder bei einer vorhandenen Instanz eine private IP-Adresse verwendet wird.

Private IP-Adresse für eine neue Instanz konfigurieren

So konfigurieren Sie eine Cloud SQL-Instanz für die Verwendung privater IP-Adressen, wenn Sie eine Instanz erstellen:

Console

  1. Wechseln Sie in der Google Cloud Console zur Seite Cloud SQL-Instanzen.

    Cloud SQL-Instanzen aufrufen

  2. Klicken Sie auf Instanz erstellen.
  3. Erweitern Sie im Assistenten zum Erstellen im Abschnitt Konfigurationsoptionen den Abschnitt Konnektivität.
  4. Klicken Sie auf das Kästchen Private IP-Adresse.

    In einer Drop-down-Liste werden die im Projekt verfügbaren VPC-Netzwerke angezeigt Wenn Ihr Projekt das Dienstprojekt einer freigegebenen VPC ist, werden auch VPC-Netzwerke aus dem Hostprojekt angezeigt.

  5. Wählen Sie das VPC-Netzwerk aus, das Sie verwenden möchten:
  6. Wenn Private Dienstverbindung erforderlich angezeigt wird:

    1. Klicken Sie auf Verbindung einrichten.
    2. Wählen Sie im Bereich IP-Bereich zuweisen eine der folgenden Optionen aus:
      • Wählen Sie einen oder mehrere IP-Bereiche aus oder erstellen Sie einen neuen aus dem Drop-down-Menü. Das Drop-down-Menü enthält die zuvor zugewiesenen Bereiche (sofern vorhanden). Sie können auch Neuen IP-Bereich zuweisen auswählen und einen neuen Bereich und Namen eingeben.
      • Verwenden Sie einen automatisch zugewiesenen IP-Bereich in Ihrem Netzwerk.
    3. Klicken Sie auf Weiter.
    4. Klicken Sie auf Verbindung erstellen.
    5. Prüfen Sie, ob der Status Private Dienstverbindung für Netzwerk VPN_NAME wurde erfolgreich erstellt angezeigt wird.
  7. Klicken Sie auf Speichern.

gcloud

Falls noch nicht geschehen, konfigurieren Sie den Zugriff auf private Dienste für Cloud SQL anhand der Anleitung unten. Erstellen Sie die Cloud SQL-Instanz. Verwenden Sie dabei den Parameter --network, um den Namen des ausgewählten VPC-Netzwerks anzugeben, und das Flag --no-assign-ip, um öffentliche IP-Adressen zu deaktivieren. Der Wert des Parameters "--network" hat das folgende Format: projects/PROJECT_ID/global/networks/VPC_NETWORK_NAME. PROJECT_ID ist die Projekt-ID des VPC-Netzwerks. Wenn das VPC-Netzwerk eine freigegebene VPC ist, sollte es die ID des Hostprojekts der freigegebenen VPC sein.
gcloud beta sql instances create INSTANCE_ID \
--project=PROJECT_ID \
--network=VPC_NETWORK_NAME \
--no-assign-ip

Private IP-Adresse für eine vorhandene Instanz konfigurieren

Wenn Sie eine vorhandene Cloud SQL-Instanz für die Verwendung einer privaten IP-Adresse konfigurieren, wird die Instanz neu gestartet, was zu einer Ausfallzeit führt.

So konfigurieren Sie eine bestehende Instanz für die Verwendung einer privaten IP-Adresse:

Console

  1. Wechseln Sie in der Google Cloud Console zur Seite Cloud SQL-Instanzen.

    Cloud SQL-Instanzen aufrufen

  2. Klicken Sie auf den Instanznamen, um die entsprechende Übersicht zu öffnen.
  3. Wählen Sie im SQL-Navigationsmenü die Option Verbindungen aus.
  4. Klicken Sie auf das Kästchen Private IP-Adresse.

    In einer Drop-down-Liste werden die im Projekt verfügbaren Netzwerke angezeigt.

  5. Wählen Sie das VPC-Netzwerk aus, das Sie verwenden möchten:
  6. Wenn Private Dienstverbindung erforderlich angezeigt wird:

    1. Klicken Sie auf Verbindung einrichten.
    2. Wählen Sie im Bereich IP-Bereich zuweisen eine der folgenden Optionen aus:
      • Wählen Sie einen oder mehrere IP-Bereiche aus oder erstellen Sie einen neuen aus dem Drop-down-Menü. Das Drop-down-Menü enthält die zuvor zugewiesenen Bereiche (sofern vorhanden). Sie können auch Neuen IP-Bereich zuweisen auswählen und einen neuen Bereich und Namen eingeben.
      • Verwenden Sie einen automatisch zugewiesenen IP-Bereich in Ihrem Netzwerk.
    3. Klicken Sie auf Weiter.
    4. Klicken Sie auf Verbindung erstellen.
    5. Prüfen Sie, ob der Status Private Dienstverbindung für Netzwerk VPN_NAME wurde erfolgreich erstellt angezeigt wird.
  7. Klicken Sie auf Speichern.

gcloud

Falls noch nicht geschehen, konfigurieren Sie den Zugriff auf private Dienste für Cloud SQL anhand der Anleitung unten. Aktualisieren Sie Ihre Cloud SQL-Instanz mithilfe des Parameters --network, um den Namen des ausgewählten VPC-Netzwerks anzugeben.

VPC_NETWORK_NAME ist der Name des ausgewählten VPC-Netzwerks, z. B. my-vpc-network. Der Wert des Parameters "--network" hat das folgende Format: https://www.googleapis.com/compute/alpha/projects/[PROJECT_ID]/global/networks/[VPC_NETWORK_NAME].

gcloud beta sql instances patch INSTANCE_ID \
--project=PROJECT_ID \
--network=VPC_NETWORK_NAME \
--no-assign-ip

Verbindung zu einer Instanz über ihre private IP-Adresse herstellen

Verwenden Sie den Zugriff auf private Dienste zum Herstellen einer Verbindung zu Cloud SQL-Instanzen von Compute Engine- oder Google Kubernetes Engine-Instanzen im selben VPC-Netzwerk (hier als interne Quellen definiert) oder von außerhalb des Netzwerks (eine externe Quelle).

Verbindung von einer internen Quelle herstellen

Zum Herstellen einer Verbindung von einer Quelle, die sich im selben Google Cloud-Projekt wie die Cloud SQL-Instanz befindet, z. B. vom Cloud SQL Auth-Proxy, der auf einer Compute Engine-Ressource ausgeführt wird, muss sich diese Ressource im selben VPC-Netzwerk wie die Cloud SQL-Instanz befinden.

Bei Verbindungen von einer serverlosen Quelle wie der App Engine-Standardumgebung, Cloud Run oder Cloud Functions wird Ihre Anwendung oder Funktion direkt über den serverlosen VPC-Zugriff ohne den Cloud SQL-Auth-Proxy mit der Instanz verbunden.

Verbindung von einer externen Quelle herstellen

Sie können eine Verbindung von einem Client in einem externen Netzwerk (lokales Netzwerk oder VPC-Netzwerk) herstellen, wenn das externe Netzwerk mit dem VPC-Netzwerk verbunden ist, mit dem Ihre Cloud SQL-Instanz verbunden ist. So lassen Sie Verbindungen von einem externen Netzwerk zu:

  1. Stellen Sie sicher, dass Ihr VPC-Netzwerk über einen Cloud-VPN-Tunnel oder einen VLAN-Anhang für Dedicated Interconnect oder Partner Interconnect mit dem externen Netzwerk verbunden ist.
  2. Achten Sie darauf, dass die BGP-Sitzungen auf den Cloud Routern, die Ihre Cloud VPN-Tunnel und Cloud Interconnect-Anhänge (VLANs) verwalten, von Ihrem lokalen Netzwerk bestimmte Präfixe (Ziele) erhalten haben. Standardrouten (Ziel 0.0.0.0/0) können nicht in das Cloud SQL-VPC-Netzwerk importiert werden, da das Netzwerk eine eigene lokale Standardroute hat. Lokale Routen für ein Ziel werden immer verwendet, auch wenn das Cloud SQL-Peering so konfiguriert ist, dass benutzerdefinierte Routen aus Ihrem VPC-Netzwerk importiert werden.
  3. Identifizieren Sie die Peering-Verbindungen, die über die private Dienstverbindung erzeugt werden. Je nach Dienst kann die private Dienstverbindung eine oder mehrere der folgenden Peering-Verbindungen erstellen, aber nicht unbedingt alle:
    • cloudsql-mysql-googleapis-com
    • cloudsql-postgres-googleapis-com
    • servicenetworking-googleapis-com
  4. Aktualisieren Sie alle Peering-Verbindungen, um den Export benutzerdefinierter Routen zu aktivieren.
  5. Identifizieren Sie den zugewiesenen Bereich, der von der Verbindung für private Dienste verwendet wird.
  6. Erstellen Sie ein benutzerdefiniertes Cloud Router Route Advertisement für den zugewiesenen Bereich auf den Cloud Routern, die BGP-Sitzungen für Ihre Cloud VPN-Tunnel oder Cloud Interconnect-Anhänge (VLANs) verwalten.

Verbindung über Cloud Shell herstellen

Cloud Shell unterstützt derzeit nicht das Herstellen einer Verbindung zu einer Cloud SQL-Instanz, die nur eine private IP-Adresse hat.

Verbindung von Adressen außerhalb von RFC 1918 herstellen

RFC 1918 gibt IP-Adressen an, die intern, also innerhalb einer Organisation, zugewiesen und nicht ins Internet weitergeleitet werden. Dazu zählen insbesondere Folgende:

  • 10.0.0.0/8
  • 172.16.0.0/12
  • 192.168.0.0/16

Verbindungen zu einer Cloud SQL-Instanz mit einer privaten IP-Adresse werden für RFC 1918-Adressbereiche automatisch autorisiert. Auf diese Weise können alle privaten Clients ohne Umleitung über den Proxy auf die Datenbank zugreifen.

Adressen außerhalb des RFC 1918-Adressbereichs müssen als autorisierte Netzwerke konfiguriert werden.

Wenn Sie eine Verbindung über eine Adresse außerhalb des RFC 1918-Bereichs herstellen möchten, müssen Sie eine instanzspezifische IP-Autorisierung einrichten, um Traffic aus anderen als RFC 1918-Adressbereichen zuzulassen.

Verwenden Sie beispielsweise den folgenden gcloud-Befehl:

gcloud sql instances patch INSTANCE_NAME \
--authorized-networks=192.88.99.0/24,11.0.0.0/24

Cloud SQL lernt standardmäßig keine Subnetzrouten außerhalb des RFC 1918-Bereichs von Ihrer VPC. Sie müssen deshalb das Netzwerk-Peering auf Cloud SQL aktualisieren, um Routen außerhalb des RFC 1918-Bereichs exportieren zu können.

gcloud compute networks peerings update cloudsql-postgres-googleapis-com 
--network=NETWORK
--export-subnet-routes-with-public-ip
--project=PROJECT_ID
  • cloudsql-postgres-googleapis-com ist der Name einer privaten Dienstverbindung von Ihrer VPC-Netzwerkseite.

    Wählen Sie Ihr Netzwerk aus und suchen Sie den Abschnitt Private Dienstverbindung.

  • NETWORK ist der Name Ihres VPC-Netzwerks.
  • PROJECT_ID ist die ID des Projekts des VPC-Netzwerks. Verwenden Sie die Hostprojekt-ID, wenn Sie eine freigegebene VPC verwenden.

Fehlerbehebung

Problem Fehlerbehebung
Aborted connection. Mögliche Ursache:
  • Netzwerk instabil.
  • Keine Antwort auf TCP-Keep-Alive-Befehle (entweder der Client oder der Server reagiert nicht, möglicherweise überlastet).
  • Die Verbindungsdauer des Datenbankmoduls wurde überschritten und der Server hat die Verbindung beendet.

Anwendungen sollten Netzwerkfehler tolerieren und gemäß den Best Practices mit Verbindungs-Pooling und Wiederholungsversuchen arbeiten. Die meisten Verbindungs-Pooler erfassen diese Fehler nach Möglichkeit. Andernfalls muss die Anwendung einen Wiederholungsversuch ausführen oder ordnungsgemäß fehlschlagen.

Für einen erneuten Verbindungsversuch empfehlen wir die folgenden Methoden:

  1. Exponentielle Backoffs. Erhöhen Sie das Zeitintervall zwischen den einzelnen Wiederholungen exponentiell.
  2. Fügen Sie auch einen zufälligen Backoff hinzu.

Durch die Kombination dieser Methoden wird die Drosselung reduziert.

FATAL: database 'user' does not exist. gcloud sql connect --user funktioniert nur mit dem standardmäßigen postgres-Nutzer.

Stellen Sie eine Verbindung mit dem Standardnutzer her und wechseln Sie die Nutzer.

Sie möchten wissen, wer verbunden ist. Melden Sie sich in der Datenbank an und führen Sie den folgenden Befehl aus:


SELECT datname,
usename,
application_name as appname,
client_addr,
state,
now() - backend_start as conn_age,
now() - state_change as last_activity_age
FROM pg_stat_activity
WHERE backend_type = 'client backend'
ORDER BY 6 DESC
LIMIT 20
   

Nächste Schritte