Cloud SQL Auth Proxy nó bealach VPN díreach chuig an mbunachar sonraí
Réitíonn an Auth Proxy agus bealach VPN díreach leathanna éagsúla den fhadhb chéanna. Déan comparáid ar dtús idir údarú an chónascóra, na calafoirt agus logáil isteach an bhunachair sonraí.
Tá dhá bhealach réasúnta ann chun teacht ar shampla príobháideach Cloud SQL ó ríomhaire glúine atá ar an VPN. Ceann amháin is ea nasc díreach le seoladh príobháideach an tsampla thar an mbealach atá agat cheana féin. An ceann eile is ea an Cloud SQL Auth Proxy, a éisteann ar loopback agus a osclaíonn an nasc chuig Cloud SQL é féin. Ní táirgí iomaíocha iad chomh mór agus dhá fhreagra éagsúla ar an gceist cé aige a bhíonn an dintiúr agus cé aige a bhíonn an bealach. Go hiondúil tagann drochrogha chun solais mar earráid údaraithe a léitear mar earráid líonra.
Seo an chomparáid a chuirfinn os comhair foirne, agus ina diaidh na seiceálacha a shocraíonn go hiarbhír í.
Dhá bhealach chuig an sampla céanna
Úsáideann an bealach díreach an bealach private-services-access ó do líonra isteach i VPC an tionscadail. Labhraíonn do chliant PostgreSQL le seoladh príobháideach an tsampla, agus maireann nó faigheann an nasc bás ar ródú, ar rialacha firewall agus ar dhintiúir an bhunachair sonraí.
Úsáideann bealach an proxy an bealach céanna ach cuireann sé próiseas áitiúil leis. Déanann an proxy fíordheimhniú ar API Google le default credentials d'iarratais, osclaíonn sé nasc chuig an sampla tríd an gcónascóir agus nochtann sé calafort loopback a dhéileálann do chliant mar PostgreSQL. Éiríonn dhá léim ina dtrí, agus iompraíonn an ceann láir údarú IAM. Is leatsa fós an bealach VPN a chothabháil, agus ní mheasann an proxy riamh gur ionadaí é don seiceáil sin.
Cad a údaraíonn gach bealach i ndáiríre
Is é an t-idirdhealú is tábhachtaí ná cad is féidir le gach rogha a údarú ar do shon:
| Question | Direct private IP | Auth Proxy |
|---|---|---|
| Who proves identity to the network | Your client, through the VPN and a database login | The proxy, through IAM to Google's API |
| IAM role needed for the connector | None | Cloud SQL Client or equivalent |
| Database user authentication | Always required | Still required unless IAM database authentication is enabled |
| Shape of the local leg | Client to instance | Client to loopback, proxy to instance |
Is geataí ar leithligh iad seiceáil IAM an proxy agus logáil isteach an bhunachair sonraí, agus ní osclaíonn dul trí cheann acu an ceann eile. Caithfidh foireann a chuireann an proxy ar siúl agus a ghlacann leis nach bhfuil gá leis an gcuntas feidhmchláir a thuilleadh tráthnóna ag plé le teipeanna pasfhocail nach mbaineann le líonrú ar chor ar bith.
Calafoirt agus bealaí, taobh le taobh
Teastaíonn TCP 443 amach ón proxy don API agus TCP 3307 don nasc sampla, iad araon curtha síos i bhforbhreathnú Auth Proxy. Clúdaíonn do bhealach VPN an dara ceann; téann an chéad cheann amach ar an ngnáthbhealach de ghnáth.
Teastaíonn ó nasc díreach go mbeadh calafort PostgreSQL an tsampla inrochtana thar an mbealach príobháideach, rud atá ina chomhrá firewall go hiomlán difriúil. Mura gceadaíonn do fhoireann líonra ach 443 amach ó fho-líonraí cliant, oireann an proxy gan aon athrú rialach agus ní oireann an bealach díreach. Socraíonn an t-aon fhíric sin an rogha níos minice ná aon rogha ailtireachta.
Ní éilíonn ceachtar bealach go mbeadh seoladh poiblí ag an sampla, agus ní thugann ceachtar acu údar le ceann a chur leis.
Áit nach gcabhraíonn an proxy
Ní dheisíonn an proxy bealach atá ar iarraidh. Mura bhfuil an bealach private-services-access ann, nó mura n-iompraíonn an VPN é, teipeann an cónascóir agus an t-éisteoir áitiúil fós ina shuí ansin ag éisteacht, agus sin an chuid mhearbhallach.
Ní chosnaíonn sé an chuid idir d'iarratas agus an proxy ach an oiread. Ar ríomhaire glúine amháin is loopback an chuid sin agus tá sí ceart go leor. Má cheanglaíonn tú an t-éisteoir le seoladh wildcard ionas go bhféadfadh comhghleacaí teacht air, tá geata bunachair sonraí gan fhíordheimhniú tógtha agat agus glaodh áisiúlachta air. Coinnigh ar loopback é agus lig don chomhghleacaí a dhintiúr féin a fháil.
Agus ní dhéanann sé Private Service Connect agus private services access idirmhalartach. Teastaíonn a shocrú DNS féin agus an glao --psc ó shampla PSC seachas an fhoirm --private-ip.
Roghnú, agus ansin fíorú cibé acu
Roghnaigh an proxy nuair is mian leat IAM sa bhealach, dintiúir ghearrshaolacha agus gan aon athrú ar an firewall isteach.
Roghnaigh an bealach díreach nuair a bhíonn dintiúir láidre bunachair sonraí ag cliant tacaíochta cheana féin agus nuair a bhíonn foireann líonra sásta an calafort a oscailt. Cibé acu, déan fíorú le fíorfhiosrú seachas le nasc rathúil: ceangail, rith léamh amháin i gcoinne tábla aithnid agus féach cad a fheiceann an freastalaí faoi do sheisiún.
Tar éis athnasc VPN, caith le dintiúr atá imithe in éag, le bealach príobháideach atá ar iarraidh agus le diúltú logála isteach sa bhunachar sonraí mar thrí theip éagsúla. Níl ach ceann amháin acu ina fhadhb líonra, agus níor cheart ach ceann amháin acu riamh a bheith ina chúis le rialacha firewall a athrú.