Ιδιωτική IP του Cloud SQL μέσω VPN: η διαδρομή που δεν εξάγει κανείς

Πολλές ομάδες πιστεύουν ότι η ιδιωτική IP του Cloud SQL λειτουργεί μόνο μέσα στο VPC, και η πεποίθηση επιβιώνει επειδή η αποτυχία μοιάζει με πρόβλημα βάσης δεδομένων. Η Google τεκμηριώνει πρόσβαση από δίκτυα που συνδέονται μέσω Cloud VPN ή Cloud Interconnect. Αυτά τα δίκτυα δεν χρειάζονται κάποια ειδική λειτουργία βάσης δεδομένων, αλλά δύο ανταλλαγές διαδρομών που είναι εύκολο να μείνουν μισοδιαμορφωμένες. Η σήραγγα σηκώνεται, οι παρουσίες υπολογισμού απαντούν και η σύνδεση με τη βάση δεδομένων λήγει — ακριβώς ο συνδυασμός που στέλνει τον κόσμο σε λάθος κονσόλα.

Μύθος: η ιδιωτική IP σημαίνει ιδιωτική ως προς το VPC

Η πρόσβαση σε ιδιωτικές υπηρεσίες είναι ένα VPC peering ανάμεσα στο δίκτυό σας και σε δίκτυο παραγωγού που ανήκει στην Google. Το εκχωρημένο εύρος για την υπηρεσία ζει στην πλευρά του παραγωγού και η διεύθυνση της παρουσίας βρίσκεται μέσα σε αυτό. Εξαιτίας αυτού του peering μια βάση δεδομένων στο έργο σας μπορεί να κάθεται σε διεύθυνση προς την οποία δρομολογεί το VPC σας χωρίς κανένα ρητό υποδίκτυό σας να την περιέχει.

Επειδή είναι peering, έχει και συμπεριφορά peering, συμπεριλαμβανομένου του σημείου όπου οι προσαρμοσμένες διαδρομές δεν περνούν αυτόματα.

Μύθος: μια σήραγγα που δουλεύει μεταφέρει μαζί της τη διαδρομή της βάσης δεδομένων

Δύο εύρη πρέπει να επιβιώσουν στο ταξίδι. Το πρώτο είναι το πρόθεμα του πελάτη: το τοπικό σας δίκτυο πρέπει να είναι γνωστό στο Cloud Router με συγκεκριμένα προθέματα, γιατί μια προεπιλεγμένη διαδρομή δεν μπορεί να δώσει την εισαγωγή που χρειάζεται το δίκτυο παραγωγού για την επιστροφή. Το δεύτερο είναι το εκχωρημένο εύρος υπηρεσίας, που η εξωτερική πλευρά πρέπει να μάθει ώστε τα πακέτα της για τη βάση δεδομένων να έχουν πού να πάνε. Είναι διαφορετικές διαδρομές που συντηρούνται σε διαφορετικά σύνορα, και η διόρθωση της μίας αφήνει την άλλη σπασμένη.

Στην πλευρά της Google αυτό σημαίνει ενεργοποίηση του Export custom routes στις σχετικές συνδέσεις peering και προσθήκη του εκχωρημένου εύρους υπηρεσίας στις διαφημιζόμενες διαδρομές του Cloud Router για τη σήραγγα.

Κρατήστε τις διαφημίσεις που υπάρχουν ήδη. Η προσθήκη του εύρους υπηρεσίας δεν πρέπει να αφαιρέσει τις διαδρομές VPC που μεταφέρει η ίδια συνεδρία BGP για άλλη κίνηση, και ένα σύνολο διαφημίσεων που αντικαθίσταται ολόκληρο είναι μια δεύτερη διακοπή κρυμμένη πίσω από την πρώτη. Ελέγξτε και τις ενεργές διαδρομές στην εξωτερική συσκευή, γιατί το να φτάνετε την πύλη VPN ή άλλο υποδίκτυο αποδεικνύει μόνο μεταφορά.

Μύθος: το Cloud SQL Auth Proxy λύνει το δίκτυο

The Auth Proxy παρέχει υποστηριζόμενη ταυτοποίηση και κρυπτογραφημένη μεταφορά ανάμεσα στην εφαρμογή σας και την παρουσία. Δεν δημιουργεί διαδρομή. Ένα proxy που ξεκινά σε κεντρικό υπολογιστή χωρίς μονοπάτι προς το ιδιωτικό δίκτυο θα αποτύχει ακριβώς όπως θα αποτύγχανε μια άμεση σύνδεση, και τα αρχεία καταγραφής του θα είναι λιγότερο διαφωτιστικά για το γιατί. Η μετακίνηση του proxy σε κεντρικό υπολογιστή που έχει συνδεσιμότητα αλλάζει ποιο σκέλος της διαδρομής πρέπει να δουλέψει, και αυτό είναι πραγματική σχεδιαστική απόφαση και όχι παράκαμψη.

Αυτό που δεν κάνει είναι να επιτρέπει σε αποσυνδεδεμένο φορητό υπολογιστή να φτάσει παρουσία μόνο ιδιωτική.

Μύθος: το Private Service Connect ακολουθεί τους ίδιους κανόνες

Το Private Service Connect χρησιμοποιεί endpoint στο δικό σας υποδίκτυο και διάταξη DNS που ελέγχετε, οπότε η διαδρομή προς αυτό είναι μια συνηθισμένη διαδρομή προς διεύθυνση που σας ανήκει. Οι ρυθμίσεις εξαγωγής peering δεν ισχύουν για αυτόν τον σχεδιασμό, και η αντιγραφή αλλαγών peering σε ανάπτυξη PSC προσθέτει κίνδυνο χωρίς να προσθέτει προσβασιμότητα.

Και τα δύο σας δίνουν ιδιωτική διεύθυνση· η ομοιότητα σταματά εκεί.

Δοκιμάστε τη διαδρομή με τη σωστή σειρά

Από τον εξωτερικό πελάτη, δοκιμάστε πρώτα το TCP endpoint της βάσης δεδομένων. Μια ολοκληρωμένη χειραψία TCP σημαίνει ότι δρομολόγηση, τείχος προστασίας και ακροατής είναι όλα στη θέση τους, και η επόμενη δοκιμή είναι μια επιτρεπτή ταυτοποιημένη λειτουργία. Μια απόρριψη ταυτοποίησης είναι στην πραγματικότητα καλό νέο σε εκείνο το σημείο, γιατί αποδεικνύει ότι απάντησε ακροατής της βάσης δεδομένων. Μια λήξη ICMP δεν λέει σχεδόν τίποτα για την πρόσβαση στη βάση δεδομένων, αφού πολλές διαδρομές το ρίχνουν ενώ προωθούν TCP ανενόχλητα.

Αν τα εύρη πελατών σας είναι εκτός RFC 1918, εξετάστε τις πρόσθετες απαιτήσεις εξαγωγής διαδρομών και εξουσιοδότησης δικτύου πριν συμπεράνετε ότι ο σχεδιασμός δεν υποστηρίζεται.

Καταγράψτε τέσσερα αντικείμενα μαζί με τη σύνδεση: το εξωτερικό πρόθεμα, το εκχωρημένο εύρος υπηρεσίας, τις συνδέσεις peering που εμπλέκονται και τον δρομολογητή που διαφημίζει. Αυτά τα τέσσερα εξηγούν ολόκληρη την ιδιωτική διαδρομή και αντικαθιστούν τον μύθο ότι το Cloud SQL είτε χρειάζεται πάντα proxy είτε δεν προσεγγίζεται καθόλου μέσω VPN.