Cloud SQL Auth Proxy yn erbyn llwybr VPN uniongyrchol i'r gronfa ddata
Mae'r Auth Proxy a llwybr VPN uniongyrchol yn datrys gwahanol haneri'r un broblem. Cymharwch awdurdodiad y cysylltydd, porthladdoedd a mewngofnodi'r gronfa ddata yn gyntaf.
Mae dwy ffordd resymol o gyrraedd enghraifft breifat Cloud SQL o liniadur ar y VPN. Un yw cysylltiad uniongyrchol ag anghyfeiriad preifat yr enghraifft dros y llwybr sydd gennych yn barod. Y llall yw'r Cloud SQL Auth Proxy, sy'n gwrando ar loopback ac yn agor y cysylltiad i Cloud SQL ei hun. Nid cynhyrchion cystadleuol mohonynt gymaint â dau ateb gwahanol i'r cwestiwn pwy sy'n dal yr enw prawf a phwy sy'n dal y llwybr. Mae dewis gwael fel arfer yn ymddangos fel gwall awdurdodi sy'n darllen fel gwall rhwydwaith.
Dyma'r gymhariaeth y byddwn yn ei rhoi o flaen tîm, wedi'i dilyn gan y gwiriadau sy'n penderfynu arni mewn gwirionedd.
Dau lwybr i'r un enghraifft
Mae'r llwybr uniongyrchol yn defnyddio'r llwybr private-services-access o'ch rhwydwaith i VPC y prosiect. Mae eich cleient yn siarad PostgreSQL ag anghyfeiriad preifat yr enghraifft, ac mae'r cysylltiad yn byw neu'n marw ar lwybreiddio, rheolau firewall a manylion prawf y gronfa ddata.
Mae llwybr y proxy yn defnyddio'r un llwybr ond yn ychwanegu proses leol. Mae'r proxy yn dilysu i API Google gyda manylion prawf rhagosodedig eich cymhwysiad, yn agor cysylltiad â'r enghraifft dros y cysylltydd, ac yn datgelu porthladd loopback y mae eich cleient yn ei drin fel PostgreSQL. Mae dau naid yn dod yn dri, ac mae'r un canol yn cario awdurdodiad IAM. Mae'r llwybr VPN yn parhau i fod yn eich un chi i'w gynnal, ac nid yw'r proxy byth yn ei ystyried yn lle'r gwiriad hwnnw.
Beth mae pob llwybr yn ei awdurdodi mewn gwirionedd
Y gwahaniaeth sy'n cyfrif fwyaf yw beth y gall pob opsiwn ei awdurdodi ar eich rhan:
| Question | Direct private IP | Auth Proxy |
|---|---|---|
| Who proves identity to the network | Your client, through the VPN and a database login | The proxy, through IAM to Google's API |
| IAM role needed for the connector | None | Cloud SQL Client or equivalent |
| Database user authentication | Always required | Still required unless IAM database authentication is enabled |
| Shape of the local leg | Client to instance | Client to loopback, proxy to instance |
Mae gwiriad IAM y proxy a mewngofnodi i'r gronfa ddata yn ddau borth ar wahân, ac nid yw mynd trwy un yn agor y llall. Bydd tîm sy'n galluogi'r proxy ac yn tybio nad oes angen cyfrif y cymhwysiad mwyach yn treulio prynhawn ar fethiannau cyfrinair sydd heb unrhyw beth i'w wneud â rhwydweithio.
Porthladdoedd a llwybrau, ochr yn ochr
Mae'r proxy angen TCP 443 allanol ar gyfer yr API a TCP 3307 ar gyfer cysylltiad yr enghraifft, y ddau wedi'u disgrifio yn trosolwg Auth Proxy. Mae eich llwybr VPN yn cynnwys yr ail; mae'r cyntaf fel arfer yn gadael drwy'r llwybr arferol.
Mae cysylltiad uniongyrchol angen i borthladd PostgreSQL yr enghraifft fod yn gyrraeddadwy dros y llwybr preifat, sy'n sgwrs firewall hollol wahanol. Os yw eich tîm rhwydwaith ond yn caniatáu 443 allanol o is-rwydweithiau cleientiaid, mae'r proxy yn ffitio heb newid rheol ac nid yw'r llwybr uniongyrchol yn gwneud. Mae'r un ffaith honno yn penderfynu'r dewis yn amlach nag unrhyw ffafriaeth bensaernïol.
Nid oes angen i'r naill na'r llall o'r llwybrau fod gan yr enghraifft anghyfeiriad cyhoeddus, ac nid oes yr un yn cyfiawnhau ychwanegu un.
Lle nad yw'r proxy yn helpu
Nid yw'r proxy yn trwsio llwybr sydd ar goll. Os yw'r llwybr private-services-access yn absennol, neu nad yw'r VPN yn ei gario, mae'r cysylltydd yn methu tra bod y gwrandawr lleol yn dal i eistedd yno'n gwrando, a dyna'r rhan ddryslyd.
Nid yw ychwaith yn amddiffyn y rhan rhwng eich cymhwysiad a'r proxy. Ar un liniadur mae'r rhan honno'n loopback ac yn iawn. Os byddwch yn rhwymo'r gwrandawr i anghyfeiriad wildcard fel y gall cydweithiwr gyrraedd ato, rydych wedi adeiladu porth cronfa ddata heb ddilysu ac wedi'i alw'n gyfleustra. Cadwch ef ar loopback a gadewch i'r cydweithiwr gael eu manylion prawf eu hunain.
Ac nid yw'n gwneud Private Service Connect a private services access yn gyfnewidiol. Mae enghraifft PSC angen ei threfniant DNS ei hun a'r alwad --psc yn hytrach na'r ffurf --private-ip.
Dewis, yna dilysu naill ffordd bynnag
Dewiswch y proxy pan fyddwch am IAM yn y llwybr, manylion prawf byrhoedlog a dim newid firewall i mewn.
Dewiswch y llwybr uniongyrchol pan fydd cleient a gefnogir eisoes yn dal manylion prawf cryf i'r gronfa ddata ac mae'r tîm rhwydwaith yn gyfforddus agor y porthladd. Naill ffordd bynnag, dilyswch gydag ymholiad go iawn yn hytrach na chysylltiad llwyddiannus: cysylltwch, rhedegwch un darlleniad ar dabl hysbys, a gwiriwch beth mae'r gweinydd yn ei weld am eich sesiwn.
Ar ôl ailgysylltu â'r VPN, triniwch fanylion prawf wedi dod i ben, llwybr preifat sydd ar goll a gwrthodiad mewngofnodi i'r gronfa ddata fel tri methiant gwahanol. Dim ond un ohonynt sy'n broblem rhwydwaith, a dim ond un a ddylai byth arwain at newid rheol firewall.