Cloud SQL Auth Proxy oder eng direkt VPN-Route zur Datebank
Den Auth Proxy an eng direkt VPN-Route léisen ënnerschiddlech Halsche vum selwechte Problem. Vergläicht fir d'éischt d'Autorisatioun vum Connector, d'Porten an de Login an d'Datebank.
Et gëtt zwee vernünfteg Weeër, fir vun engem Laptop um VPN aus eng privat Cloud SQL-Instanz z'erreechen. Ee ass eng direkt Verbindung zu der privater Adress vun der Instanz iwwer d'Route, déi Dir schonns hutt. Dee aneren ass de Cloud SQL Auth Proxy, deen um Loopback lauschtert an d'Verbindung op Cloud SQL selwer opmécht. Si sinn manner konkurréierend Produkter wéi zwou verschidden Äntwerten op d'Fro, wien den Identifiant hält a wien d'Route hält. Eng schlecht Wiel daucht meeschtens als Autorisatiounsfehler op, deen als Netzwierkfehler gelies gëtt.
Hei ass de Verglach, deen ech engem Team virleeë géif, gefollegt vun de Kontrollen, déi en tatsächlech entscheeden.
Zwee Weeër zu der selwechter Instanz
Den direkte Wee benotzt d'Route private-services-access aus Ärem Netz an d'VPC vum Projet. Äre Client schwätzt PostgreSQL mat der privater Adress vun der Instanz, an d'Verbindung lieft oder stierft op Routing, Firewall-Reegelen an den Identifiante vun der Datebank.
De Proxy-Wee benotzt déi selwecht Route, setzt awer e lokale Prozess derbäi. De Proxy authentifizéiert sech bei der Google API mat den default credentials vun Ärer Applikatioun, mécht eng Verbindung zu der Instanz iwwer de Connector op a bitt en Loopback-Port un, deen Äre Client als PostgreSQL behandelt. Zwee Spréng ginn dräi, an deenen an der Mëtt dréit d'IAM-Autorisatioun. D'VPN-Route bleift Är Aufgab ze ënnerhalen, an de Proxy gesäit se ni als Ersatz fir déi Kontroll.
Wat all Wee tatsächlech autoriséiert
Den wichtegsten Ënnerscheed ass, wat all Optioun fir Iech autoriséiere kann:
| Question | Direct private IP | Auth Proxy |
|---|---|---|
| Who proves identity to the network | Your client, through the VPN and a database login | The proxy, through IAM to Google's API |
| IAM role needed for the connector | None | Cloud SQL Client or equivalent |
| Database user authentication | Always required | Still required unless IAM database authentication is enabled |
| Shape of the local leg | Client to instance | Client to loopback, proxy to instance |
D'IAM-Kontroll vum Proxy an de Login an d'Datebank sinn zwee getrennt Paarten, an duerch déi eng ze goen mécht déi aner net op. En Team, deen de Proxy aktivéiert a mengt, de Kont vun der Applikatioun wier elo iwwerflësseg, verbréngt en Nomëtteg mat Passwuertfehler, déi näischt mat Netzwierk ze dinn hunn.
Porten a Routen, niewenteneen
De Proxy brauch ausgängigen TCP 443 fir d'API an TCP 3307 fir d'Verbindung zu der Instanz, béides beschriwwen an Google senger Iwwersiicht vum Auth Proxy. Är VPN-Route deckt déi zweet; déi éischt geet normalerweis iwwer de gewéinleche Wee eraus.
Eng direkt Verbindung erfuerdert, datt de PostgreSQL-Port vun der Instanz iwwer d'privat Route erreechbar ass, wat eng ganz aner Firewall-Diskussioun ass. Wann Ären Netzwierksteam nëmmen 443 ausgängig aus Client-Subnetzer erlaabt, passt de Proxy ouni Reegelännerung a bei direktem Wee net. Dee eenzege Fakt entscheet d'Wiel méi dacks wéi all architektonesch Préferenz.
Keen vun deenen zwee Weeër verlaangt, datt d'Instanz eng ëffentlech Adress huet, an keen zwee rechtfertegt eng dobäizesetzen.
Wou de Proxy net hëlleft
De Proxy reparéiert keng fehlend Route. Wann d'Route private-services-access feelt, oder de VPN se net dréit, fällt de Connector aus, während de lokale Lauschterer nach ëmmer do sëtzt an lauschtert, an dat ass de verwiischlenden Deel.
Et schützt och net de Stéck tëschent Ärer Applikatioun an dem Proxy. Op engem Laptop ass dee Stéck Loopback an a Ordnung. Wann Dir de Lauschterer un eng Wildcard-Adress bënnt, fir datt e Kolleg drun erukënnt, hutt Dir eng onauthentifizéiert Datebank-Paart gebaut an se Bequemlechkeet genannt. Halt se um Loopback a loosst de Kolleg seng eege Identifiante huelen.
An et mécht Private Service Connect a private services access net austauschbar. Eng PSC-Instanz brauch hir eegen DNS-Reegelung an den --psc-Aufruff amplaz vun der --private-ip-Form.
Wielen, an duerno op béide Weeër verifizéieren
Wielt de Proxy, wann Dir IAM am Wee wëllt, kuerzlieweg Identifiante gutt sidd an keng Ännerung un der erakommender Firewall wëllt.
Wielt de direkte Wee, wann en ënnerstëtzte Client schonns staark Datebank-Identifiante huet an den Netzwierksteam sech wull fillt, de Port opzemaachen. Verifizéiert ëmmer mat enger richtege Query amplaz mat enger erfolgreicher Verbindung: verbënnt Iech, maacht eng Liesung op enger bekannter Tabell a kuckt, wat de Server iwwer Är Sëtzung gesäit.
No enger VPN-Neuschaltung behandelt en ofgelafenen Identifiant, eng fehlend privat Route an eng ofgeleent Datebank-Login als dräi verschidden Ausfäll. Nëmmen eng dovun ass e Netzwierkproblem, an nëmmen eng soll jeemools dozou féieren, eng Firewall-Reegel ze änneren.