Cloud SQL privee IP oer VPN: de rûte dy't nimmen eksportearret

In protte teams leauwe dat Cloud SQL privee IP allinnich fan binnen de VPC wurket, en dat leauwen bliuwt omdat de flater der útsjocht as in databankprobleem. Google dokumintearret tagong fan netwurken dy't fia Cloud VPN of Cloud Interconnect ferbûn binne. Wat dy netwurken nedich hawwe is net in spesjale databankfunksje, mar twa rûtemings dy't maklik heal konfigurearre litten wurde. De tunnel komt omheech, de komputaasje-ynstânsjes antwurdzje, en de databankferbining rint op in time-out — krekt de kombinaasje dy't minsken nei de ferkearde konsole stjoert.

Myt: privee IP betsjut privee foar de VPC

Tagong ta privee tsjinsten is in VPC-peering tusken dyn netwurk en in produsintnetwurk dat fan Google is. It tawiisde berik foar de tsjinst leit oan de produsintkant, en it ynstânsje-adres sit deryn. Dy peering is wêrom't in databank yn dyn projekt op in adres sitte kin dêr't dyn VPC nei rûtelet sûnder dat ien fan dyn eksplisite subnetten it befettet.

Om't it in peering is, hat it ek peering-gedrach, ynklusyf it part dêr't oanpaste rûtes net automatysk oergeane.

Myt: in wurkjende tunnel draacht de databankrûte mei

Twa berikken moatte de reis oerlibje. It earste is it kliïntprefiks: dyn lokale netwurk moat by de Cloud Router bekend wêze mei konkrete prefiksen, want in standertrûte kin de ymport net leverje dy't it produsintnetwurk foar de weromweis nedich hat. It twadde is it tawiisde tsjinstberik, dat de bûtenkant leare moat sadat syn pakketten foar de databank earne hinne kinne. It binne ferskate rûtes dy't by ferskate grinzen ûnderhâlden wurde, en ien reparearje lit de oare stikken.

Oan de Google-kant betsjut dat Export custom routes oansette op de oangeande peering-ferbiningen en it tawiisde tsjinstberik tafoegje oan de oankundige rûtes fan de Cloud Router foar de tunnel.

Hâld de oankundigings dy't der al binne. It tafoegjen fan it tsjinstberik moat de VPC-rûtes net fuorthelje dy't deselde BGP-sesje foar oar ferkear draacht, en in oankundigingset dat hielendal ferfongen wurdt is in twadde steuring ferstoppe efter de earste. Kontrolearje ek de effektive rûtes op it eksterne apparaat, want it berikken fan de VPN-gateway of in oar subnet bewiist allinnich ferfier.

Myt: de Cloud SQL Auth Proxy lost it netwurk op

The Auth Proxy leveret stipe autentikaasje en fersifere ferfier tusken dyn applikaasje en it ynstânsje. It makket gjin rûte. In proxy dy't starten wurdt op in host sûnder paad nei it privee netwurk sil krekt sa mislearje as in direkte ferbining, en syn logs sille minder nuttich wêze oer wêrom. It ferpleatsen fan de proxy nei in host dat wol konnektiviteit hat feroaret hokker skonk fan it paad wurkje moat, en dat is in echte ûntwerpbeslissing ynstee fan in omwei.

Wat it net docht is in loskeppele laptop in allinnich-privee ynstânsje berikke litte.

Myt: Private Service Connect folget deselde regels

Private Service Connect brûkt in endpoint yn dyn eigen subnet en in DNS-regeling dy't do bestjoerest, dus de rûte dêrhinne is in gewoane rûte nei in adres dat do hast. Peering-eksportynstellings jilde net foar dat ûntwerp, en peering-feroarings kopiearje yn in PSC-útrulling foeget risiko ta sûnder berikberens ta te foegjen.

Beide jouwe dy in privee adres; de oerienkomst hâldt dêr op.

Test it paad yn de juste folchoarder

Fan de eksterne kliïnt, test earst it TCP-endpoint fan de databank. In foltôge TCP-hânskot betsjut dat rûtearjen, firewall en listener allegear op har plak binne, en de folgjende test is in tastiene autentisearre operaasje. In autentikaasje-ôfwizing is op dat stuit eins goed nijs, want it bewiist dat in databanklistener antwurde. In ICMP-time-out seit hast neat oer databanktagong, want in protte paden smite it weilûke wylst se TCP sûnder swierrichheden trochstjoere.

As dyn kliïntberikken bûten RFC 1918 lizze, besjoch dan de ekstra easken foar rûte-eksport en netwurkautorisatie foardat do konkludearje dat it ûntwerp net stipe wurdt.

Skriuw fjouwer objekten op by de ferbining: it eksterne prefiks, it tawiisde tsjinstberik, de belutsen peering-ferbiningen en de router dy't oankundiget. Dy fjouwer ferklearje hiel it privee paad, en se ferfange it folksferhaal dat Cloud SQL of altyd in proxy nedich hat of hielendal net oer VPN berikber is.