VPN üzərindən Cloud SQL özəl IP: heç kimin ixrac etmədiyi marşrut

Bir çox komanda hesab edir ki, Cloud SQL özəl IP yalnız VPC-nin içindən işləyir və bu inanc yaşayır, çünki nasazlıq verilənlər bazası problemi kimi görünür. Google Cloud VPN və ya Cloud Interconnect ilə bağlanmış şəbəkələrdən girişi sənədləşdirir. Bu şəbəkələrə lazım olan xüsusi verilənlər bazası funksiyası deyil, yarımçıq saxlamaq asan olan iki marşrut mübadiləsidir. Tunel qalxır, hesablama instansları cavab verir, verilənlər bazası bağlantısı isə vaxt aşımına uğrayır — bu, insanları səhv konsola yönəldən dəqiq kombinasiyadır.

Mif: özəl IP VPC-yə özəl deməkdir

Özəl xidmətlərə giriş şəbəkənizlə Google-a məxsus istehsalçı şəbəkəsi arasında VPC peerinqdir. Xidmət üçün ayrılmış diapazon istehsalçı tərəfdədir və instans ünvanı onun içindədir. Peerinq buna görə layihənizdəki verilənlər bazasının VPC-nizin marşrutlaşdırdığı, lakin heç bir açıq subnetinizin əhatə etmədiyi ünvanda yerləşməsinə imkan verir.

Peerinq olduğu üçün peerinq davranışı da gətirir, o cümlədən fərdi marşrutların avtomatik keçməməsi hissəsini.

Mif: işləyən tunel verilənlər bazası marşrutunu özü ilə aparır

İki diapazon bu yolu keçməlidir. Birincisi müştəri prefiksidir: yerli şəbəkəniz Cloud Router-ə konkret prefikslərlə məlum olmalıdır, çünki defolt marşrut istehsalçı şəbəkəsinin qayıdış yolu üçün ehtiyac duyduğu importu verə bilməz. İkincisi ayrılmış xidmət diapazonudur; xarici tərəf onu öyrənməlidir ki, verilənlər bazasına gedən paketlərin harasa getməsi olsun. Bunlar müxtəlif sərhədlərdə saxlanılan fərqli marşrutlardır və birini düzəltmək digərini sınmış qoyur.

Google tərəfində bu, müvafiq peerinq bağlantılarında Export custom routes seçimini aktivləşdirmək və ayrılmış xidmət diapazonunu tunel üçün Cloud Router-in elan etdiyi marşrutlara əlavə etmək deməkdir.

Artıq mövcud olan elanları saxlayın. Xidmət diapazonunun əlavə edilməsi həmin BGP sessiyasının digər trafik üçün daşıdığı VPC marşrutlarını çıxarmamalıdır və bütövlükdə əvəz edilən elan dəsti birincinin arxasında gizlənən ikinci kəsintidir. Xarici cihazda effektiv marşrutları da yoxlayın, çünki VPN şlüzuna və ya başqa subnetə çata bilmək yalnız nəqli sübut edir.

Mif: Cloud SQL Auth Proxy şəbəkə problemini həll edir

The Auth Proxy tətbiqinizlə instans arasında dəstəklənən autentifikasiya və şifrələnmiş nəqli təmin edir. O, marşrut yaratmır. Özəl şəbəkəyə yolu olmayan hostda başladılan proxy, birbaşa bağlantı kimi uğursuz olacaq və jurnalları səbəb barədə daha az məlumatlı olacaq. Proksini əlaqəsi olan hosta köçürmək yolun hansı ayağının işləməli olduğunu dəyişir və bu, dövrə yolu deyil, real dizayn qərarıdır.

Etmədiyi şey, əlaqəsiz noutbukun yalnız özəl instansa çatmasına imkan verməkdir.

Mif: Private Service Connect eyni qaydalara tabedir

Private Service Connect öz subnetinizdə bir endpoint və nəzarət etdiyiniz DNS quruluşundan istifadə edir, ona görə ora gedən marşrut sahib olduğunuz ünvana adi marşrutdur. Peerinq ixrac parametrləri bu dizayna aid deyil və peerinq dəyişikliklərini PSC yerləşdirməsinə köçürmək çatışmazlıq əlavə etmədən risk əlavə edir.

Hər ikisi sizə özəl ünvan verir; oxşarlıq bununla bitir.

Yolu düzgün ardıcıllıqla sınayın

Xarici müştəridən əvvəlcə verilənlər bazasının TCP endpointini sınayın. Tamamlanmış TCP əl sıxması marşrutlaşdırma, firewall və dinləyicinin yerində olduğunu göstərir və növbəti sınaq icazəli autentifikasiyalı əməliyyatdır. Autentifikasiyanın rədd edilməsi o məqamda əslində yaxşı xəbərdir, çünki verilənlər bazası dinləyicisinin cavab verdiyini sübut edir. ICMP vaxt aşımı verilənlər bazası girişi haqqında demək olar ki, heç nə demir, çünki bir çox yol TCP-ni rahat ötürərkən onu atır.

Müştəri diapazonlarınız RFC 1918 xaricindədirsə, dizaynın dəstəklənmədiyi qənaətinə gəlməzdən əvvəl əlavə marşrut ixracı və şəbəkə avtorizasiyası tələblərini nəzərdən keçirin.

Bağlantı ilə birlikdə dörd obyekt qeyd edin: xarici prefiks, ayrılmış xidmət diapazonu, iştirak edən peerinq bağlantıları və elan edən router. Bu dördü bütün özəl yolu izah edir və Cloud SQL-in ya həmişə proksi tələb etdiyi, ya da VPN üzərindən heç çatılmadığı barədə əfsanəni əvəz edir.