Прыватны IP Cloud SQL праз VPN: маршрут, які ніхто не экспартуе

Многія каманды вераць, што прыватны IP Cloud SQL працуе толькі знутры VPC, і гэтая вера жыве, бо збой выглядае як праблема базы даных. Google дакументуе доступ з сетак, падключаных праз Cloud VPN або Cloud Interconnect. Гэтым сеткам патрэбны не адмысловы сродак базы даных, а два абмены маршрутамі, якія лёгка пакінуць напалову наладжанымі. Тунель узнімаецца, вылічальныя інстансы адказваюць, а злучэнне з базай даных сканчаецца тайм-аўтам — менавіта гэтая камбінацыя адпраўляе людзей у няправільную кансоль.

Міф: прыватны IP азначае прыватнасць да VPC

Доступ да прыватных сэрвісаў — гэта VPC-peering паміж вашай сеткай і сеткай пастаўшчыка, якой валодае Google. Выдзелены дыяпазон для сэрвісу знаходзіцца на баку пастаўшчыка, і адрас інстанса ўнутры яго. Менавіта праз гэты peering база даных у вашым праекце можа сядзець на адрасе, куды ваша VPC маршрутызуе, хоць ніводная ваша явная падсетка яго не ўтрымлівае.

Паколькі гэта peering, ён мае і паводзіны peering, уключаючы тую частку, дзе карыстальніцкія маршруты не пераходзяць аўтаматычна.

Міф: працоўны тунель нясе маршрут базы даных з сабой

Два дыяпазоны павінны перажыць дарогу. Першы — кліенцкі прэфікс: ваша лакальная сетка павінна быць вядомая Cloud Router з пэўнымі прэфіксамі, бо маршрут па змаўчанні не можа даць імпарт, патрэбны сетцы пастаўшчыка для зваротнага шляху. Другі — выдзелены дыяпазон сэрвісу, які знешні бок павінен вывучыць, каб яго пакеты да базы даных мелі куды ісці. Гэта розныя маршруты, якія падтрымліваюцца на розных межах, і выпраўленне аднаго пакідае другі зламаным.

На баку Google гэта азначае ўключэнне Export custom routes на адпаведных peering-злучэннях і даданне выдзеленага дыяпазону сэрвісу ў рэкламаваныя маршруты Cloud Router для тунеля.

Захавайце аб'явы, якія ўжо ёсць. Даданне дыяпазону сэрвісу не павінна выдаляць маршруты VPC, якія тая ж BGP-сесія нясе для іншага трафіку, а набор аб'яў, заменены цалкам, — гэта другі збой, схаваны за першым. Праверце таксама эфектыўныя маршруты на знешняй прыладзе, бо магчымасць дасягнуць VPN-шлюза або іншай падсеткі даказвае толькі транспарт.

Міф: Cloud SQL Auth Proxy вырашае сетку

The Auth Proxy забяспечвае падтрыманую аўтэнтыфікацыю і шыфраваны транспарт паміж вашым прыкладаннем і інстансам. Ён не стварае маршрут. Проксі, запушчаны на хаспе без шляху да прыватнай сеткі, пацерпіць няўдачу гэтак жа, як і прамое злучэнне, а яго журналы будуць менш карыснымі наконт прычыны. Перанясенне проксі на хасп з сувяззю змяняе, якая частка шляху павінна працаваць, і гэта сапраўднае праектнае рашэнне, а не абыход.

Чаго ён не робіць — не дазваляе адключанаму ноўтбуку дасягнуць інстанса, даступнага толькі прыватна.

Міф: Private Service Connect падпарадкоўваецца тым жа правілам

Private Service Connect выкарыстоўвае endpoint у вашай уласнай падсетцы і DNS-схему, якую вы кантралюеце, таму маршрут да яго — звычайны маршрут да адраса, якім вы валодаеце. Налады экспарту peering да гэтага дызайну не датычацца, а капіраванне змен peering у разгортванне PSC дадае рызыку без дадання дасягальнасці.

Абодва даюць прыватны адрас; падабенства на гэтым сканчаецца.

Праверце шлях у правільным парадку

Са знешняга кліента спачатку праверце TCP-кропку базы даных. Завершаны TCP-рукапоціск азначае, што маршрутызацыя, файрвол і слухач на месцы, а наступная проверка — дазволеная аўтэнтыфікаваная аперацыя. Адмова аўтэнтыфікацыі ў гэты момант насамрэч добрая навіна, бо даказвае, што слухач базы даных адказаў. Тайм-аўт ICMP амаль нічога не кажа пра доступ да базы даных, бо шматлікія шляхі скідаюць яго, спакойна перадаючы TCP.

Калі вашы кліенцкія дыяпазоны па-за RFC 1918, перагледзьце дадатковыя патрабаванні да экспарту маршрутаў і аўтарызацыі сеткі, перш чым рабіць выснову, што дызайн не падтрымліваецца.

Запішыце чатыры аб'екты разам са злучэннем: знешні прэфікс, выдзелены дыяпазон сэрвісу, задзейнічаныя peering-злучэнні і роўтар, які робіць аб'явы. Гэтыя чатыры тлумачаць увесь прыватны шлях і замяняюць паданне, што Cloud SQL альбо заўсёды патрабуе проксі, альбо наогул недасягальны праз VPN.