Cloud SQL Auth Proxy же маалымат базасына түз VPN маршруту
Auth Proxy менен түз VPN маршруту бир эле маселенин ар башка жарымын чечет. Адегенде коннектордун авторизациясын, портторду жана маалымат базасына кирүүнү салыштырыңыз.
VPNге туташкан ноутбуктан жеке Cloud SQL инстанциясына жетүүнүн эки акылга сыярлык жолу бар. Бирөө — сизде мурунтан бар маршрут аркылуу инстанциянын жеке дарегине түз туташуу. Экинчиси — loopbackте угуучу жана Cloud SQLге туташууну өзү ачкан Cloud SQL Auth Proxy. Булар атаандаш продуктулардан көрө «күбөлүктү ким кармайт жана маршрутту ким кармайт» деген суроого эки башка жооп. Туура эмес тандоо адатта тармак катасындай окулган авторизация катасы катары көрүнөт.
Мына, команданын алдына коё турган салыштыруу, андан кийин чечимди чындап кабыл алган текшерүүлөр.
Бир инстанцияга эки жол
Түз жол сиздин тармагыңыздан долбоордун VPCсине private-services-access маршрутун колдонот. Клиентиңиз инстанциянын жеке дареги менен PostgreSQL тилинде сүйлөшөт, ал эми туташуу маршруттоого, firewall эрежелерине жана маалымат базасынын күбөлүктөрүнө байланыштуу жашайт же өлөт.
Proxy жолу ошол эле маршрутту колдонот, бирок жергиликтүү процессти кошот. Proxy колдонмоңуздун default credentials менен Google APIге аутентификация жасайт, коннектор аркылуу инстанцияга туташуу ачат жана клиентиңиз PostgreSQL деп кабыл алган loopback портун сунуштайт. Эки секирик үчкө айланат, ал эми ортодогу IAM авторизациясын алып жүрөт. VPN маршруту дагы эле сиздин тейлөөңүздө калат, жана proxy аны эч качан ошол текшерүүнүн ордун басуучу деп эсептебейт.
Ар бир жол чындыгында эмнени авторизациялайт
Эң маанилүү айырма — ар бир вариант сиздин ордуңузга эмнени авторизациялай алат:
| Question | Direct private IP | Auth Proxy |
|---|---|---|
| Who proves identity to the network | Your client, through the VPN and a database login | The proxy, through IAM to Google's API |
| IAM role needed for the connector | None | Cloud SQL Client or equivalent |
| Database user authentication | Always required | Still required unless IAM database authentication is enabled |
| Shape of the local leg | Client to instance | Client to loopback, proxy to instance |
Proxyнин IAM текшерүүсү жана маалымат базасына кирүү эки өзүнчө дарбаза, жана бирөөнөн өтүү экинчисин ачпайт. Proxyни күйгүзүп, колдонмо эсеби эми керек эмес деп ойлогон команда тармакка эч кандай тиешеси жок сырсөз ийгиликсиздиктерине жарым күн жумшайт.
Порттор жана маршруттар, катар
Proxyге API үчүн чыгуучу TCP 443 жана инстанция туташуусу үчүн TCP 3307 керек, экөө тең Googleдун Auth Proxy серебинде сүрөттөлгөн. Сиздин VPN маршрутуңуз экинчисин камтыйт; биринчиси адаттагы жол менен чыгат.
Түз туташуу инстанциянын PostgreSQL порту жеке маршрут аркылуу жеткиликтүү болушун талап кылат, бул таптакыр башка firewall сүйлөшүүсү. Эгер тармак командаңыз клиент субнеттеринен 443 чыгууга гана уруксат берсе, proxy эрежени өзгөртпөстөн батат, ал эми түз жол батпайт. Ушул бир факт каалаган архитектуралык тандоодон көбүрөөк чечимди аныктайт.
Эки жолдун экөө тең инстанциянын коомдук дареги болушун талап кылбайт, жана экөө тең аны кошууну актабайт.
Proxy жардам бербеген жерлер
Proxy жоголгон маршрутту оңдобойт. Эгер private-services-access маршруту жок болсо, же VPN аны ташыбаса, коннектор ийгиликсиз болот, ал эми жергиликтүү угуучу дагы эле ошол жерде отуруп угат — башты айланткан бөлүгү да ушул.
Ошондой эле колдонмоңуз менен proxyнин ортосундагы бөлүктү коргобойт. Бир ноутбукта ал бөлүк loopback жана баары жайында. Эгер угуучуну кесиптешиңиз жете алышы үчүн wildcard дарекке байласаңыз, сиз аутентификациясыз маалымат базасынын дарбазасын куруп, аны ыңгайлуулук деп атадыңыз. Аны loopbackте кармаңыз жана кесиптешиңиз өзүнүн күбөлүгүн өзү алсын.
Жана ал Private Service Connect менен private services accessти бири-бирине алмаштырылуучу кылбайт. PSC инстанциясына өзүнүн DNS жайгашуусу жана --private-ip формасынын ордуна --psc чакыруусу керек.
Тандоо, андан кийин эки учурда тең текшерүү
Жолдо IAM, кыска мөөнөттүү күбөлүктөр жана кирүүчү firewallде өзгөртүүсүз болушун кааласаңыз, proxyни тандаңыз.
Колдоого алынган клиентте мурунтан эле бекем маалымат базасынын күбөлүктөрү болсо жана тармак командасы портту ачууга даяр болсо, түз маршрутту тандаңыз. Кандай болбосун, ийгиликтүү туташуунун ордуна чыныгы суроо менен текшериңиз: туташыңыз, белгилүү таблицага бир окуу жүргүзүңүз жана сервер сессияңыз жөнүндө эмнени көрөрүн караңыз.
VPN кайра туташкандан кийин мөөнөтү бүткөн күбөлүктү, жоголгон жеке маршрутту жана маалымат базасына кирүүдөн баш тартууну үч башка бузулуу катары караңыз. Алардын бирөө гана тармак маселеси, жана бирөө гана firewall эрежесин өзгөртүүгө алып барышы керек.