VPN аркылуу Cloud SQL жеке IP: эч ким экспорттобогон маршрут

Көп командалар Cloud SQL жеке IP VPC ичинен гана иштейт деп эсептешет жана бул ишеним сакталат, анткени ката маалымат базасынын көйгөйүнө окшош. Google Cloud VPN же Cloud Interconnect аркылуу туташкан тармактардан кирүүнү документтештирет. Ал тармактарга өзгөчө маалымат базасынын функциясы эмес, жарым конфигурациялап коюу оңой болгон эки маршрут алмашуусу керек. Туннель көтөрүлөт, эсептөө инстанциялары жооп берет, ал эми маалымат базасынын байланышы убакыт чегинен өтөт — адамдарды туура эмес консолго жиберген так ушул айкалыш.

Уламыш: жеке IP VPC үчүн жеке дегенди билдирет

Жеке кызматтарга кирүү — бул сиздин тармагыңыз менен Googleго таандык өндүрүүчү тармагынын ортосундагы VPC peering. Кызмат үчүн бөлүнгөн диапазон өндүрүүчү тарапта жайгашкан, ал эми инстанциянын дареги анын ичинде. Ушул peering аркасында долбооруңуздагы маалымат базасы сиздин VPC маршруттаган дарекке жайгаша алат, бирок сиздин эч бир так ички тармагыңыз аны камтыбайт.

Ал peering болгондуктан, peering жүрүм-туруму да бар, анын ичинде ыңгайлаштырылган маршруттар автоматтык түрдө өтпөгөн бөлүгү.

Уламыш: иштеп жаткан туннель маалымат базасынын маршрутун өзү менен алып жүрөт

Эки диапазон бул жолду өтүшү керек. Биринчиси — кардар префикси: сиздин жергиликтүү тармагыңыз Cloud Routerге конкреттүү префикстер менен белгилүү болушу керек, анткени демейки маршрут өндүрүүчү тармакка кайтуу жолу үчүн керек болгон импортту бере албайт. Экинчиси — бөлүнгөн кызмат диапазону, аны сырткы тарап үйрөнүшү керек, ошондо маалымат базасына бара турган пакеттердин барар жери болот. Булар ар кайсы чектерде кармалган ар башка маршруттар, ал эми бирөөнү оңдоо экинчисин сынган бойдон калтырат.

Google тарапта бул тиешелүү peering байланыштарында Export custom routes күйгүзүүнү жана бөлүнгөн кызмат диапазонун туннель үчүн Cloud Routerдин жарыяланган маршруттарына кошууну билдирет.

Мурунтан бар жарыяларды сактаңыз. Кызмат диапазонун кошуу ошол эле BGP сессиясы башка трафик үчүн ташыган VPC маршруттарын алып салбашы керек, ал эми толугу менен алмаштырылган жарыялар топтому биринчисинин артында жашырылган экинчи бузулуш. Сырткы түзмөктөгү натыйжалуу маршруттарды да текшериңиз, анткени VPN шлюзуна же башка ички тармакка жетүү транспорту гана далилдейт.

Уламыш: Cloud SQL Auth Proxy тармакты чечет

The Auth Proxy колдонмоңуз менен инстанциянын ортосунда колдоого алынган аутентификацияны жана шифрленген транспортту камсыз кылат. Ал маршрут түзбөйт. Жеке тармакка жолу жок хостто иштетилген прокси түз байланыш сыяктуу эле ишке ашпайт, ал эми журналдары себеби тууралуу азыраак пайдалуу болот. Проксини байланышы бар хостко жылдыруу жолдун кайсы бөлүгү иштеши керектигин өзгөртөт, жана бул айланып өтүү эмес, чыныгы дизайн чечими.

Ал кылбаган нерсе — байланышы жок ноутбукка жеке гана инстанцияга жетүүгө мүмкүндүк берүү.

Уламыш: Private Service Connect ошол эле эрежелерди сактайт

Private Service Connect өз ички тармагыңыздагы endpointти жана сиз көзөмөлдөгөн DNS тартибин колдонот, ошондуктан ал жакка бара турган маршрут — өзүңүзгө таандык дарекке кадимки маршрут. Peering экспортунун жөндөөлөрү бул дизайнга тиешелүү эмес, ал эми peering өзгөртүүлөрүн PSC жайгаштырууга көчүрүү жеткиликтүүлүктү кошпой эле тобокелдикти кошот.

Экөө тең сизге жеке дарек берет; окшоштук ошол жерде бүтөт.

Жолду туура тартипте текшериңиз

Сырткы кардардан адегенде маалымат базасынын TCP endpointин текшериңиз. Бүткөн TCP кол алышуу маршруттоо, firewall жана угуучунун баары ордунда экенин билдирет, ал эми кийинки тест — уруксат берилген аутентификацияланган операция. Аутентификациядан баш тартуу ошол учурда жагымдуу кабар, анткени маалымат базасынын угуучусу жооп бергенин далилдейт. ICMP убакыт чеги маалымат базасына кирүү тууралуу дээрлик эч нерсе айтпайт, анткени көп жолдор TCPни оңой өткөрүп жатканда аны таштап салат.

Эгер кардар диапазондоруңуз RFC 1918ден тышкары болсо, дизайн колдоого алынбайт деген тыянакка келүүдөн мурун маршрут экспорту менен тармактык авторизациянын кошумча талаптарын карап чыгыңыз.

Байланыш менен бирге төрт объектини жазыңыз: сырткы префикс, бөлүнгөн кызмат диапазону, катышкан peering байланыштары жана жарыялаган маршрутизатор. Ошол төртөө бүт жеке жолду түшүндүрөт жана Cloud SQL же дайыма прокси керек, же VPN аркылуу такыр жетүүгө болбойт деген уламышты алмаштырат.