Cloud SQL privat IP iwwer VPN: de Wee, deen keen exportéiert

Vill Teams gleewen, datt Cloud SQL privat IP nëmme vun der VPC bannen fonctionnéiert, an dee Gleewe bleift, well de Feeler wéi en Datebankproblem ausgesäit. Google dokumentéiert den Zougrëff aus Netzwierker, déi iwwer Cloud VPN oder Cloud Interconnect verbonne sinn. Dee Netzwierker brauche keng speziell Datebankfunktioun, mä zwou Routenaustausch, déi ee liicht hallef konfiguréiert léisst. Den Tunnel kënnt erop, d'Berechnungsinstanze äntweren, an d'Datebankverbindung leeft an en Timeout — genee déi Kombinatioun, déi d'Leit an déi falsch Konsole schéckt.

Mythos: privat IP heescht privat fir d'VPC

Zougrëff op privat Servicer ass en VPC-Peering tëscht Ärem Netz an engem Produzentennetz, dat Google gehéiert. De zougewise Beräich fir de Service läit op der Produzentensäit, an d'Instanzadress läit dran. Duerch dëse Peering kann eng Datebank an Ärem Projet op enger Adress sëtzen, op déi Är VPC routet, ouni datt en explizitt Subnetz vun Iech se enthält.

Well et e Peering ass, huet et och Peering-Verhalen, inklusiv deen Deel, wou personaliséiert Route net automatesch iwwergoen.

Mythos: en funktionéierenden Tunnel dréit d'Datebankroute mat sech

Zwee Beräicher mussen d'Rees iwwerstoen. Den éischten ass de Client-Prefix: Äert lokalt Netz muss dem Cloud Router mat konkreten Prefixe bekannt sinn, well eng Standardroute kann den Import net liwweren, deen de Produzentennetz fir de Réckwee brauch. Den zweeten ass de zougewise Serviceberäich, deen déi extern Säit léiere muss, sou datt seng Pakete fir d'Datebank eng Plaz hunn, wou se higoe kënnen. Et sinn ënnerschiddlech Route, déi op ënnerschiddleche Grenze gehal ginn, an een ze reparéieren léisst deen aneren ze briechen.

Op der Google-Säit heescht dat Export custom routes op den entspriechende Peering-Verbindungen aschalten an de zougewise Serviceberäich zu de vum Cloud Router annoncéierte Route fir den Tunnel bäisetzen.

Behält d'Annoncen, déi schonn do sinn. D'Bäisetze vum Serviceberäich sollt d'VPC-Route net ewechhuelen, déi déiselwecht BGP-Sessioun fir aneren Trafik dréit, an en Annoncent-Set, deen am Ganzen ersat gëtt, ass en zweeten Ausfall, deen hannert deem éischte verstoppt ass. Kontrolléiert och déi effektiv Route um externen Apparat, well de VPN-Gateway oder en anert Subnetz z'erreechen nëmmen den Transport beweist.

Mythos: den Cloud SQL Auth Proxy léist d'Netz

The Auth Proxy liwwert ënnerstëtzt Authentifikatioun an verschlësselte Transport tëscht Ärer Applikatioun an der Instanz. Et schaaft keng Route. En Proxy, deen op engem Host ouni Wee an d'privat Netz gestart gëtt, wäert genee sou feelen wéi eng direkt Verbindung, an seng Loge wäerte manner hëllefräich iwwer d'Woure sinn. De Proxy op en Host ze plënneren, deen Nettvernetzung huet, ännert wéi en Deel vum Wee muss funktionéieren, an dat ass eng richteg Designentscheedung an net en Ëmwee.

Wat et net mécht, ass engem ofgeschniddene Laptop erlaabt, eng nëmme privat Instanz z'erreechen.

Mythos: Private Service Connect follegt deene selwechte Regelen

Private Service Connect benotzt en Endpunkt an Ärem eegene Subnetz an eng DNS-Uerdnung, déi Dir kontrolléiert, also ass de Wee dohinner eng gewéinlech Route op eng Adress, déi Dir besëtzt. Peering-Exportastellunge gëllen net fir dee Design, an Peering-Ännerungen an eng PSC-Installatioun ze kopéieren bäisetzt Risiko ouni Erreechbarkeet.

Zwou ginn Iech eng privat Adress; d'Ähnlechkeet hält do op.

Test de Wee an der richteger Reihenfolge

Vum externen Client, test d'TCP-Endpunkt vun der Datebank als éischt. En ofgeschlossenen TCP-Handshake bedeit, datt Routing, Firewall an Nolauschterer all op hirem Plaz sinn, an den nächsten Test ass eng erlaabte authentifizéiert Operatioun. Eng Oflehnung vun der Authentifikatioun ass zu deem Zäitpunkt tatsächlech eng gutt Noriicht, well se beweist, datt en Datebank-Nolauschterer geäntwert huet. En ICMP-Timeout seet bal näischt iwwer Datebankzougrëff, well vill Weeër et fale loossen, während se TCP ouni Problemer weiderleeden.

Wann Är Client-Beräicher ausserhalb vun RFC 1918 leien, iwwerpréift déi zousätzlech Ufuerderunge fir Route-Export an Netzautorisatioun, ier Dir schlussfolgert, datt den Design net ënnerstëtzt gëtt.

Notéiert véier Objeten mat der Verbindung: de externen Prefix, de zougewise Serviceberäich, déi bedeelegt Peering-Verbindungen an de Router, deen annoncéiert. Déi véier erklären de ganzen private Wee, an se ersetzen d'Geschicht, datt Cloud SQL entweder ëmmer e Proxy brauch oder iwwerhaapt net iwwer eng VPN z'erreechen ass.