IP privat de Cloud SQL per VPN: la ruta que ningú no exporta

Molts equips creuen que l'IP privat de Cloud SQL només funciona des de dins de la VPC, i la creença es manté perquè la fallada sembla un problema de base de dades. Google documenta l'accés des de xarxes connectades mitjançant Cloud VPN o Cloud Interconnect. Aquestes xarxes no necessiten una funció especial de base de dades, sinó dos intercanvis de rutes fàcils de deixar mig configurats. El túnel s'aixeca, les instàncies de càlcul responen i la connexió a la base de dades expira, que és exactament la combinació que envia la gent a la consola equivocada.

Mite: IP privat vol dir privat per a la VPC

L'accés a serveis privats és un emparellament de VPC entre la vostra xarxa i una xarxa de productor propietat de Google. El rang assignat al servei viu al costat del productor, i l'adreça de la instància hi és a dins. Aquest emparellament és la raó per la qual una base de dades del vostre projecte pot seure en una adreça a la qual la vostra VPC encamina sense que cap subxarxa explícita vostra la contingui.

Com que és un emparellament, també té comportament d'emparellament, inclosa la part en què les rutes personalitzades no travessen automàticament.

Mite: un túnel que funciona porta la ruta de la base de dades amb ell

Dos rangs han de sobreviure al trajecte. El primer és el prefix de client: la vostra xarxa local ha de ser coneguda pel Cloud Router amb prefixos concrets, perquè una ruta per defecte no pot aportar la importació que la xarxa del productor necessita per al camí de tornada. El segon és el rang de servei assignat, que el costat extern ha d'aprendre perquè els seus paquets cap a la base de dades tinguin on anar. Són rutes diferents mantingudes en fronteres diferents, i arreglar-ne una deixa l'altra trencada.

Al costat de Google, això vol dir activar Export custom routes a les connexions d'emparellament pertinents i afegir el rang de servei assignat a les rutes anunciades del Cloud Router per al túnel.

Conserveu els anuncis que ja hi són. Afegir el rang de servei no ha de treure les rutes de VPC que la mateixa sessió BGP transporta per a altre trànsit, i un conjunt d'anuncis substituït del tot és una segona caiguda amagada darrere de la primera. Reviseu també les rutes efectives al dispositiu extern, perquè poder arribar a la passarel·la VPN o a una altra subxarxa només demostra transport.

Mite: el Cloud SQL Auth Proxy resol la xarxa

The Auth Proxy proporciona autenticació suportada i transport xifrat entre la vostra aplicació i la instància. No crea cap ruta. Un proxy engegat en un amfitrió sense camí cap a la xarxa privada fallarà exactament com ho faria una connexió directa, i els seus registres seran menys útils sobre el perquè. Moure el proxy a un amfitrió que sí que té connectivitat canvia quina part del camí ha de funcionar, i això és una decisió de disseny real i no una solució improvisada.

El que no fa és permetre que un ordinador portàtil desconnectat arribi a una instància només privada.

Mite: Private Service Connect segueix les mateixes regles

Private Service Connect utilitza un endpoint a la vostra pròpia subxarxa i un arranjament de DNS que controleu, així que la ruta fins a ell és una ruta ordinària cap a una adreça que posseïu. La configuració d'exportació d'emparellament no s'aplica a aquest disseny, i copiar canvis d'emparellament en un desplegament PSC afegeix risc sense afegir abast.

Tots dos us donen una adreça privada; la semblança s'acaba aquí.

Proveu el camí en l'ordre correcte

Des del client extern, proveu primer el punt de connexió TCP de la base de dades. Un intercanvi TCP complet significa que encaminament, tallafoc i oient hi són tots, i la prova següent és una operació autenticada permesa. Un rebuig d'autenticació és en aquell moment una bona notícia, perquè demostra que un oient de la base de dades ha respost. Un temps d'espera d'ICMP no diu gairebé res sobre l'accés a la base de dades, perquè molts camins el descarten mentre reenvien TCP sense problema.

Si els vostres rangs de client són fora de RFC 1918, reviseu els requisits addicionals d'exportació de rutes i d'autorització de xarxa abans de concloure que el disseny no és suportat.

Anoteu quatre objectes amb la connexió: el prefix extern, el rang de servei assignat, les connexions d'emparellament implicades i l'encaminador que fa l'anunci. Aquests quatre expliquen tot el camí privat i substitueixen la llegenda que Cloud SQL o bé sempre necessita un proxy o bé no es pot assolir per VPN.