Cloud SQL privatusis IP per VPN: maršrutas, kurio niekas neeksportuoja

Daug komandų mano, kad Cloud SQL privatusis IP veikia tik VPC viduje, ir šis įsitikinimas laikosi, nes gedimas atrodo kaip duomenų bazės problema. Google dokumentuoja prieigą iš tinklų, prijungtų per Cloud VPN arba Cloud Interconnect. Tiems tinklams reikia ne specialios duomenų bazės funkcijos, o dviejų maršrutų mainų, kuriuos lengva palikti pusiau sukonfigūruotus. Tunelis pakyla, skaičiavimo instancijos atsako, o duomenų bazės ryšys baigiasi laiko limitu — būtent ta kombinacija, kuri nukreipia žmones į netinkamą konsolę.

Mitas: privatusis IP reiškia privatus VPC atžvilgiu

Prieiga prie privačių paslaugų yra VPC peering tarp jūsų tinklo ir Google priklausančio gamintojo tinklo. Paslaugai skirtas diapazonas yra gamintojo pusėje, o instancijos adresas yra jo viduje. Dėl šio peering duomenų bazė jūsų projekte gali būti adresu, į kurį jūsų VPC maršrutizuoja, nors jokia jūsų aiški poaibė jos neturi.

Kadangi tai peering, jis turi ir peering elgseną, įskaitant tą dalį, kur pasirinktiniai maršrutai automatiškai neperžengia.

Mitas: veikiantis tunelis neša duomenų bazės maršrutą su savimi

Du diapazonai turi išgyventi kelionę. Pirmasis yra kliento prefiksas: jūsų vietinis tinklas turi būti žinomas Cloud Router su konkrečiais prefiksais, nes numatytasis maršrutas negali pateikti importo, kurio gamintojo tinklui reikia grįžimo keliui. Antrasis yra skirtas paslaugos diapazonas, kurį išorinė pusė turi išmokti, kad jos paketai į duomenų bazę turėtų kur eiti. Tai skirtingi maršrutai, prižiūrimi skirtingose ribose, o vieną sutaisius kitas lieka sulaužytas.

Google pusėje tai reiškia Export custom routes įjungimą atitinkamuose peering ryšiuose ir skirto paslaugos diapazono pridėjimą prie Cloud Router skelbiamų tunelio maršrutų.

Išsaugokite jau esamus skelbimus. Paslaugos diapazono pridėjimas neturi pašalinti VPC maršrutų, kuriuos ta pati BGP sesija neša kitam srautui, o visiškai pakeistas skelbimų rinkinys yra antra triktis, paslėpta už pirmosios. Patikrinkite ir efektyvius maršrutus išoriniame įrenginyje, nes pasiekti VPN šliuzą ar kitą poaibę įrodo tik transportą.

Mitas: Cloud SQL Auth Proxy išsprendžia tinklą

The Auth Proxy teikia palaikomą autentifikavimą ir šifruotą transportą tarp jūsų programos ir instancijos. Jis nesukuria maršruto. Tarpinė programa, paleista pagrindiniame kompiuteryje be kelio į privatų tinklą, žlugs lygiai taip pat kaip tiesioginis ryšys, o jos žurnalai bus mažiau naudingi dėl priežasties. Tarpinės programos perkėlimas į kompiuterį, turintį ryšį, pakeičia, kuri kelio dalis turi veikti, ir tai yra tikras dizaino sprendimas, o ne apėjimas.

Ko jis nedaro — neleidžia atjungtam nešiojamajam kompiuteriui pasiekti tik privačios instancijos.

Mitas: Private Service Connect laikosi tų pačių taisyklių

Private Service Connect naudoja endpoint savo poaibėje ir jūsų kontroliuojamą DNS tvarką, todėl maršrutas į jį yra įprastas maršrutas į jums priklausantį adresą. Peering eksporto nustatymai tam dizainui netaikomi, o peering pakeitimų kopijavimas į PSC diegimą prideda rizikos nepridedant pasiekiamumo.

Abu duoda jums privatų adresą; panašumas tuo ir baigiasi.

Išbandykite kelią teisinga tvarka

Iš išorinio kliento pirmiausia išbandykite duomenų bazės TCP endpoint. Užbaigtas TCP rankos paspaudimas reiškia, kad maršrutizavimas, užkarda ir klausytojas yra vietoje, o kitas bandymas yra leidžiama autentifikuota operacija. Autentifikavimo atmetimas tuo metu iš tikrųjų yra gera žinia, nes įrodo, kad duomenų bazės klausytojas atsakė. ICMP laiko limitas beveik nieko nesako apie prieigą prie duomenų bazės, nes daugelis kelių jį meta, tuo pačiu be vargo perduodami TCP.

Jei jūsų kliento diapazonai yra už RFC 1918 ribų, peržiūrėkite papildomus maršrutų eksporto ir tinklo autorizacijos reikalavimus prieš darydami išvadą, kad dizainas nepalaikomas.

Užrašykite keturis objektus kartu su ryšiu: išorinį prefiksą, skirtą paslaugos diapazoną, susijusius peering ryšius ir maršrutizatorių, kuris skelbia. Šie keturi paaiškina visą privatų kelią ir pakeičia padavimą, kad Cloud SQL arba visada reikia tarpinės programos, arba per VPN jo visai neįmanoma pasiekti.