Cloud SQL-ի մասնավոր IP-ն VPN-ի միջոցով՝ երթուղին, որը ոչ ոք չի արտահանում

Շատ թիմեր կարծում են, որ Cloud SQL-ի մասնավոր IP-ն աշխատում է միայն VPC-ի ներսից, և այդ համոզմունքը պահպանվում է, որովհետև ձախողումը նման է տվյալների բազայի խնդրի։ Google-ը փաստաթղթավորում է հասանելիությունը Cloud VPN-ով կամ Cloud Interconnect-ով միացված ցանցերից։ Այդ ցանցերին պետք է ոչ թե տվյալների բազայի հատուկ ֆունկցիա, այլ երկու երթուղային փոխանակում, որոնք հեշտ է կիսատ թողնել։ Թունելը բարձրանում է, հաշվարկային ինստանսները պատասխանում են, և տվյալների բազայի միացումը ժամանակը սպառում է՝ հենց այն համակցությունը, որը մարդկանց ուղարկում է սխալ կոնսոլ։

Առասպել. մասնավոր IP նշանակում է մասնավոր VPC-ի համար

Մասնավոր ծառայությունների հասանելիությունը VPC peering է ձեր ցանցի և Google-ին պատկանող արտադրող ցանցի միջև։ Ծառայության համար հատկացված տիրույթը գտնվում է արտադրողի կողմում, և ինստանսի հասցեն դրա ներսում է։ Այդ peering-ի պատճառով է, որ ձեր նախագծի տվյալների բազան կարող է նստել հասցեի վրա, որին ձեր VPC-ն երթուղավորում է, առանց ձեր որևէ բացահայտ ենթացանցի մեջ լինելու։

Քանի որ դա peering է, այն ունի նաև peering-ի վարքագիծ, ներառյալ այն մասը, որտեղ հատուկ երթուղիները ինքնաբերաբար չեն անցնում։

Առասպել. աշխատող թունելն իր հետ տանում է տվյալների բազայի երթուղին

Երկու տիրույթ պետք է գոյատևեն ճանապարհին։ Առաջինը հաճախորդի նախածանցն է. ձեր տեղական ցանցը պետք է հայտնի լինի Cloud Router-ին կոնկրետ նախածանցներով, որովհետև լռելյայն երթուղին չի կարող տրամադրել այն ներմուծումը, որն արտադրող ցանցին անհրաժեշտ է վերադարձի ուղու համար։ Երկրորդը հատկացված ծառայության տիրույթն է, որը արտաքին կողմը պետք է սովորի, որպեսզի տվյալների բազայի համար նրա փաթեթները տեղ ունենան գնալու։ Սրանք տարբեր երթուղիներ են, որոնք պահվում են տարբեր սահմաններում, և մեկի ուղղումը մյուսին թողնում է կոտրված։

Google-ի կողմում դա նշանակում է միացնել Export custom routes-ը համապատասխան peering միացումներում և ավելացնել հատկացված ծառայության տիրույթը Cloud Router-ի՝ թունելի համար հայտարարված երթուղիներին։

Պահեք արդեն եղած հայտարարությունները։ Ծառայության տիրույթի ավելացումը չպետք է հեռացնի այն VPC երթուղիները, որոնք նույն BGP սեսիան կրում է այլ երթևեկության համար, և ամբողջությամբ փոխարինված հայտարարությունների հավաքածուն երկրորդ ընդհատումն է, որը թաքնված է առաջինի հետևում։ Ստուգեք նաև արտաքին սարքի արդյունավետ երթուղիները, որովհետև VPN դարպասին կամ այլ ենթացանցին հասնելը միայն տրանսպորտ է ապացուցում։

Առասպել. Cloud SQL Auth Proxy-ն լուծում է ցանցը

The Auth Proxy ապահովում է աջակցվող նույնականացում և գաղտնագրված տրանսպորտ ձեր հավելվածի և ինստանսի միջև։ Այն երթուղի չի ստեղծում։ Մասնավոր ցանց տանող ուղի չունեցող հոսթում գործարկված proxy-ն կձախողվի ճիշտ այնպես, ինչպես ուղիղ միացումը, և դրա մատյանները պատճառի մասին ավելի քիչ օգտակար կլինեն։ Proxy-ն միացում ունեցող հոսթ տեղափոխելը փոխում է, թե ուղու որ հատվածը պետք է աշխատի, և դա իրական նախագծային որոշում է, ոչ թե շրջանցում։

Ինչ որ այն չի անում, դա անջատված նոթբուքին միայն մասնավոր ինստանս հասնելու հնարավորություն տալն է։

Առասպել. Private Service Connect-ը հետևում է նույն կանոններին

Private Service Connect-ը օգտագործում է ձեր սեփական ենթացանցում գտնվող endpoint և ձեր կողմից վերահսկվող DNS կարգավորում, ուստի դրան տանող երթուղին սովորական երթուղի է դեպի ձեր սեփականության հասցե։ Peering-ի արտահանման կարգավորումները չեն տարածվում այդ նախագծի վրա, և peering-ի փոփոխությունները PSC տեղակայման մեջ պատճենելը ռիսկ է ավելացնում առանց հասանելիություն ավելացնելու։

Երկուսն էլ ձեզ մասնավոր հասցե են տալիս. նմանությունն այնտեղ ավարտվում է։

Փորձարկեք ուղին ճիշտ հերթականությամբ

Արտաքին հաճախորդից նախ փորձարկեք տվյալների բազայի TCP endpoint-ը։ Ավարտված TCP ձեռքսեղմումը նշանակում է, որ երթուղավորումը, firewall-ը և լսողը բոլորը տեղում են, և հաջորդ փորձարկումը թույլատրված նույնականացված գործողություն է։ Նույնականացման մերժումը այդ պահին իրականում լավ նորություն է, որովհետև ապացուցում է, որ տվյալների բազայի լսողը պատասխանել է։ ICMP-ի ժամանակի սպառումը գրեթե ոչինչ չի ասում տվյալների բազայի հասանելիության մասին, որովհետև շատ ուղիներ այն գցում են՝ միաժամանակ TCP-ն անխոչընդոտ փոխանցելով։

Եթե ձեր հաճախորդի տիրույթները RFC 1918-ից դուրս են, վերանայեք երթուղիների արտահանման և ցանցի թույլտվության լրացուցիչ պահանջները նախքան այն եզրակացնելը, որ նախագիծը չի աջակցվում։

Միացման հետ գրանցեք չորս օբյեկտ՝ արտաքին նախածանցը, հատկացված ծառայության տիրույթը, ներգրավված peering միացումները և հայտարարող երթուղիչը։ Այդ չորսը բացատրում են ամբողջ մասնավոր ուղին, և դրանք փոխարինում են այն առասպելին, թե Cloud SQL-ը կա՛մ միշտ proxy է պահանջում, կա՛մ ընդհանրապես հասանելի չէ VPN-ով։