Cloud SQL Auth Proxy fersus in direkte VPN-route nei de databank
De Auth Proxy en in direkte VPN-route oplosse ferskate helten fan itselde probleem. Fergelykje earst de autorisaasje fan de connector, de poarten en de databank-oanmelding.
Der binne twa ferstannige manieren om in privee Cloud SQL-eksimplaar te berikken fan in laptop op it VPN. Ien is in direkte ferbining nei it privee adres fan it eksimplaar oer de route dy't jo al hawwe. De oare is de Cloud SQL Auth Proxy, dy't op loopback harket en de ferbining nei Cloud SQL sels iepenet. It binne minder konkurrearjende produkten as twa ferskillende antwarten op de fraach wa't de bewiisstikken hat en wa't de route hat. In ferkearde kar docht him meastentiids foar as in autorisaasjeflater dy't as netwurkflater lêzen wurdt.
Hjir is de fergeliking dy't ik foar in team lizze soe, folge troch de kontrôles dy't it echt besliste.
Twa paden nei itselde eksimplaar
It direkte paad brûkt de private-services-access-route fan jo netwurk yn it VPC fan it projekt. Jo klient praat PostgreSQL mei it privee adres fan it eksimplaar, en de ferbining libbet of stjert op routing, firewall-regels en databank-bewiisstikken.
It proxy-paad brûkt deselde route mar foeget in lokaal proses ta. De proxy autentisearret him by de Google API mei de default credentials fan jo applikaasje, iepenet in ferbining nei it eksimplaar oer de connector en biedt in loopback-poarte oan dy't jo klient as PostgreSQL behannelet. Twa springen wurde trije, en de middelste draacht IAM-autorisaasje. De VPN-route bliuwt fan jo om te ûnderhâlden, en de proxy sjocht dy nea as ferfanging foar dy kontrôle.
Wat elk paad eins autorisearret
It wichtichste ûnderskie is wat elke opsje foar jo autorisearje kin:
| Question | Direct private IP | Auth Proxy |
|---|---|---|
| Who proves identity to the network | Your client, through the VPN and a database login | The proxy, through IAM to Google's API |
| IAM role needed for the connector | None | Cloud SQL Client or equivalent |
| Database user authentication | Always required | Still required unless IAM database authentication is enabled |
| Shape of the local leg | Client to instance | Client to loopback, proxy to instance |
De IAM-kontrôle fan de proxy en de databank-oanmelding binne aparte poarten, en it trochgean fan ien iepenet de oare net. In team dat de proxy oanset en oannimt dat it applikaasje-account no oerstallich is, sil in middei dwaande wêze mei wachtwurdfouten dy't neat mei netwurk te meitsjen hawwe.
Poarten en routes, njonkeninoar
De proxy hat útgeande TCP 443 nedich foar de API en TCP 3307 foar de eksimplaarferbining, beide beskreaun yn Google's oersjoch fan Auth Proxy. Jo VPN-route beslacht it twadde; it earste giet normaal oer it gewoane paad.
In direkte ferbining hat nedich dat de PostgreSQL-poarte fan it eksimplaar berikber is oer de privee route, wat in hiel oare firewall-petear is. As jo netwurkteam allinnich útgeande 443 fan klant-subnetten tastiet, past de proxy sûnder in regel te feroarjen en it direkte paad net. Dat iene feit beslist de kar faker as hokker arsjitektoanyske foarkar dan ek.
Gjin fan de beide paden easket dat it eksimplaar in iepenbier adres hat, en gjinien rjochtfeardiget it tafoegjen fan ien.
Wêr't de proxy net helpt
De proxy reparearret gjin ûntbrekkende route. As de private-services-access-route ûntbrekt, of it VPN dy net draacht, mislearret de connector wylst de lokale listener dêr noch sit te harkjen, en dat is it betiizjende part.
Hy beskermet ek net it stik tusken jo applikaasje en de proxy. Op ien laptop is dat stik loopback en goed. As jo de listener oan in wildcard-adres bine om't in kollega der by moat, hawwe jo in net-autentisearre databank-gateway boud en dat gemak neamd. Hâld it op loopback en lit de kollega syn eigen bewiisstikken helje.
En hy makket Private Service Connect en private services access net útwikselber. In PSC-eksimplaar hat syn eigen DNS-regeling nedich en de --psc-oprop yn stee fan de --private-ip-foarm.
Kieze, en dan hoe dan ek ferifiearje
Kies de proxy as jo IAM yn it paad wolle, koart libjende bewiisstikken en gjin feroaring oan de yngeande firewall.
Kies de direkte route as in stipe klient al sterke databank-bewiisstikken hat en it netwurkteam ree is de poarte te iepenjen. Ferifiearje hoe dan ek mei in echte query yn stee fan in slagge ferbining: ferbine, ien lêzing útfiere tsjin in bekende tabel en sjoch wat de tsjinner foar jo sesje sjocht.
Nei in nije VPN-ferbining behannelje jo in ferfallen bewiisstik, in ûntbrekkende privee route en in wegere databank-oanmelding as trije ferskillende flaters. Mar ien fan har is in netwurkprobleem, en mar ien soe ea liede moatte ta it feroarjen fan in firewall-regel.