IP preifat Cloud SQL dros VPN: y llwybr nad yw neb yn ei allforio

Mae llawer o dimau'n credu mai dim ond o du mewn i'r VPC y mae IP preifat Cloud SQL yn gweithio, ac mae'r gred yn para oherwydd bod y methiant yn edrych fel problem cronfa ddata. Mae Google yn dogfennu mynediad o rwydweithiau sy'n gysylltiedig trwy Cloud VPN neu Cloud Interconnect. Yr hyn sydd ei angen ar y rhwydweithiau hynny nid yw nodwedd gronfa ddata arbennig, ond dau gyfnewidiad llwybr sy'n hawdd eu gadael yn hanner ffurfweddedig. Mae'r twnnel yn codi, mae'r enghreifftiau cyfrifo yn ateb, ac mae'r cysylltiad cronfa ddata yn amseru allan — sef yn union y cyfuniad sy'n anfon pobl i'r consol anghywir.

Myth: mae IP preifat yn golygu preifat i'r VPC

Mae mynediad gwasanaethau preifat yn bariad VPC rhwng eich rhwydwaith a rhwydwaith cynhyrchydd sy'n eiddo i Google. Mae'r amrediad a ddyrannwyd ar gyfer y gwasanaeth yn byw ar ochr y cynhyrchydd, ac mae cyfeiriad yr enghraifft y tu mewn iddo. Dyna pam y gall cronfa ddata yn eich prosiect eistedd ar gyfeiriad y mae eich VPC yn llwybro iddo heb i unrhyw is-rwydwaith benodol gennych chi ei chynnwys.

Gan ei fod yn bariad, mae ganddo ymddygiad bariad hefyd, gan gynnwys y rhan lle nad yw llwybrau personol yn croesi'n awtomatig.

Myth: mae twnnel sy'n gweithio yn cario llwybr y gronfa ddata gydag ef

Rhaid i ddau amrediad oroesi'r daith. Y cyntaf yw rhagddodiad y cleient: rhaid i'r Cloud Router adnabod eich rhwydwaith lleol â rhagddodiadau penodol, oherwydd ni all llwybr diofyn ddarparu'r mewnforiad sydd ei angen ar rwydwaith y cynhyrchydd ar gyfer y llwybr dychwelyd. Yr ail yw'r amrediad gwasanaeth a ddyrannwyd, y mae'n rhaid i'r ochr allanol ei ddysgu fel bod gan ei phecynnau ar gyfer y gronfa ddata rywle i fynd. Llwybrau gwahanol yw'r rhain a gynhelir ar ffiniau gwahanol, ac mae trwsio un yn gadael y llall wedi torri.

Ar ochr Google, mae hynny'n golygu galluogi Export custom routes ar y cysylltiadau bariad perthnasol ac ychwanegu'r amrediad gwasanaeth a ddyrannwyd at lwybrau hysbyseb Cloud Router ar gyfer y twnnel.

Cadwch yr hysbysebion sydd eisoes yno. Ni ddylai ychwanegu'r amrediad gwasanaeth ddileu'r llwybrau VPC y mae'r un sesiwn BGP yn eu cario ar gyfer traffig arall, ac mae set hysbysebion a ddisodlir yn gyfan yn ail darfu wedi'i chuddio y tu ôl i'r cyntaf. Gwiriwch y llwybrau effeithiol ar y ddyfais allanol hefyd, oherwydd dim ond cludiant y mae gallu cyrraedd y porth VPN neu is-rwydwaith arall yn ei brofi.

Myth: mae Cloud SQL Auth Proxy yn datrys y rhwydwaith

The Auth Proxy yn darparu dilysu â chymorth a chludiant wedi'i amgryptio rhwng eich cymhwysiad a'r enghraifft. Nid yw'n creu llwybr. Bydd procsi a gychwynnir ar westeiwr heb lwybr i'r rhwydwaith preifat yn methu'n union fel y byddai cysylltiad uniongyrchol, a bydd ei logiau'n llai defnyddiol ynglŷn â pham. Mae symud y procsi i westeiwr sydd â chysylltedd yn newid pa goesyn o'r llwybr sy'n gorfod gweithio, a phenderfyniad dylunio gwirioneddol yw hwnnw yn hytrach na chyfryngiad.

Yr hyn nad yw'n ei wneud yw galluogi gliniadur datgysylltiedig i gyrraedd enghraifft breifat yn unig.

Myth: mae Private Service Connect yn dilyn yr un rheolau

Mae Private Service Connect yn defnyddio endpoint yn eich is-rwydwaith chi a threfniant DNS a reolwch, felly llwybr cyffredin i gyfeiriad sy'n eiddo i chi yw'r llwybr iddo. Nid yw gosodiadau allforio bariad yn berthnasol i'r dyluniad hwnnw, ac mae copïo newidiadau bariad i ddefnyddiad PSC yn ychwanegu risg heb ychwanegu cyrhaeddedd.

Mae'r ddau yn rhoi cyfeiriad preifat i chi; mae'r tebygrwydd yn dod i ben yno.

Profwch y llwybr yn y drefn gywir

O'r cleient allanol, profwch endpoint TCP y gronfa ddata yn gyntaf. Mae ysgydwad llaw TCP wedi'i gwblhau yn golygu bod llwybro, mur cadw a gwrandawr i gyd yn eu lle, a'r prawf nesaf yw gweithrediad dilysiedig a ganiateir. Mae gwrthodiad dilysu yn newyddion da ar y pwynt hwnnw, oherwydd ei fod yn profi bod gwrandawr cronfa ddata wedi ateb. Nid yw amseru allan ICMP yn dweud fawr ddim am fynediad cronfa ddata, oherwydd bod llawer o lwybrau yn ei ollwng tra'n anfon TCP ymlaen yn ddidrafferth.

Os yw eich amrediadau cleient y tu allan i RFC 1918, adolygwch y gofynion ychwanegol ar gyfer allforio llwybr ac awdurdodi rhwydwaith cyn dod i'r casgliad nad yw'r dyluniad yn cael ei gefnogi.

Cofnodwch bedwar gwrthrych gyda'r cysylltiad: y rhagddodiad allanol, yr amrediad gwasanaeth a ddyrannwyd, y cysylltiadau bariad dan sylw, a'r llwybrydd sy'n hysbysebu. Mae'r pedwar hynny'n esbonio'r holl lwybr preifat, ac maent yn disodli'r chwedl fod Cloud SQL naill ai bob amser angen procsi neu na ellir ei gyrraedd dros VPN o gwbl.