Cloud SQL Auth Proxy эсвэл өгөгдлийн сан руу шууд VPN зам
Auth Proxy болон шууд VPN зам нь нэг асуудлын өөр өөр хагасыг шийддэг. Эхлээд коннекторын зөвшөөрөл, порт, өгөгдлийн сан руу нэвтрэхийг харьцуулна уу.
VPN-д холбогдсон зөөврийн компьютерээс хувийн Cloud SQL инстанц руу хүрэх хоёр ухаалаг арга бий. Нэг нь таны аль хэдийн байгаа замаар инстанцын хувийн хаяг руу шууд холбогдох. Нөгөө нь loopback дээр сонсож, Cloud SQL руу холболтыг өөрөө нээдэг Cloud SQL Auth Proxy юм. Эдгээр нь өрсөлдөгч бүтээгдэхүүнээс илүү «итгэмжлэлийг хэн барьж, замыг хэн барьдаг» гэсэн асуултын хоёр өөр хариулт юм. Буруу сонголт ихэвчлэн сүлжээний алдаа мэт уншигддаг зөвшөөрлийн алдаа болж илэрдэг.
Багийн өмнө тавих харьцуулалт энэ байна, дараа нь үнэхээр шийдвэр гаргадаг шалгалтууд.
Нэг инстанц руу хоёр зам
Шууд зам нь таны сүлжээнээс төслийн VPC руу private-services-access замыг ашигладаг. Таны клиент инстанцын хувийн хаягтай PostgreSQL-ээр ярьж, холболт нь чиглүүлэлт, firewall дүрэм, өгөгдлийн сангийн итгэмжлэл дээр амьдардаг эсвэл үхдэг.
Proxy зам нь ижил замыг ашигладаг ч локал процесс нэмдэг. Proxy нь таны аппын default credentials ашиглан Google API-д баталгаажуулж, коннектороор дамжуулан инстанц руу холболт нээж, таны клиент PostgreSQL гэж үздэг loopback порт гаргаж өгдөг. Хоёр харайлт гурав болж, дунд нь IAM зөвшөөрлийг дамжуулдаг. VPN зам нь таны арчилгаанд үлдэж, proxy үүнийг хэзээ ч тэр шалгалтын орлуулагч гэж үздэггүй.
Зам тус бүр үнэхээр юуг зөвшөөрдөг вэ
Хамгийн чухал ялгаа нь сонголт бүр таны өмнөөс юуг зөвшөөрч чадах вэ:
| Question | Direct private IP | Auth Proxy |
|---|---|---|
| Who proves identity to the network | Your client, through the VPN and a database login | The proxy, through IAM to Google's API |
| IAM role needed for the connector | None | Cloud SQL Client or equivalent |
| Database user authentication | Always required | Still required unless IAM database authentication is enabled |
| Shape of the local leg | Client to instance | Client to loopback, proxy to instance |
Proxy-ийн IAM шалгалт болон өгөгдлийн сан руу нэвтрэх нь тусдаа хоёр хаалга бөгөөд нэгийг нь давсан нь нөгөөг нь нээхгүй. Proxy-г асаагаад аппын бүртгэл одоо хэрэггүй гэж үзсэн баг сүлжээтэй огт хамааралгүй нууц үгийн алдаанд хагас өдөр зарцуулна.
Порт ба зам, зэрэгцээ
Proxy-д API-д зориулсан гарах TCP 443, инстанц холболтод TCP 3307 хэрэгтэй бөгөөд хоёулаа Google-ийн Auth Proxy-ийн тоймд тайлбарлагдсан. Таны VPN зам хоёр дахь нь; эхнийх нь ихэвчлэн ердийн замаар гардаг.
Шууд холболтод инстанцын PostgreSQL порт хувийн замаар хүрэх боломжтой байх шаардлагатай бөгөөд энэ нь огт өөр firewall яриа юм. Хэрэв таны сүлжээний баг клиентийн дэд сүлжээнээс зөвхөн гарах 443-ыг зөвшөөрдөг бол proxy дүрэм өөрчлөхгүйгээр багтах бөгөөд шууд зам багтахгүй. Энэ ганц баримт нь ямар ч архитектурын сонголтоос илүү олон удаа шийдвэрийг тодорхойлдог.
Аль ч зам инстанц нийтийн хаягтай байхыг шаарддаггүй бөгөөд аль нь ч нэмэхийг зөвтгөдөггүй.
Proxy туслахгүй газар
Proxy алга болсон замыг засдаггүй. Хэрэв private-services-access зам байхгүй эсвэл VPN түүнийг зөөдөггүй бол коннектор амжилтгүй болох бөгөөд локал сонсогч тэнд сууж сонсож байна, энэ нь төөрөгдүүлсэн хэсэг юм.
Мөн таны апп болон proxy-ийн хоорондох хэсгийг хамгаалдаггүй. Нэг зөөврийн компьютер дээр тэр хэсэг loopback бөгөөд зүгээр. Хэрэв хамт олон хүрч чадахын тулд сонсогчийг wildcard хаяг руу холбовол та баталгаажуулалтгүй өгөгдлийн сангийн гарц бариад түүнийг тав тух гэж нэрлэсэн байна. Үүнийг loopback дээр байлгаж, хамт олонд өөрийн итгэмжлэлээ авахыг зөвшөөр.
Мөн энэ нь Private Service Connect болон private services access-ыг харилцан солигдох болгодоггүй. PSC инстанцад өөрийн DNS зохицуулалт, --private-ip хэлбэрийн оронд --psc дуудлага хэрэгтэй.
Сонгоод, дараа нь аль ч тохиолдолд шалгах
Замд IAM, богино хугацааны итгэмжлэл, орж ирэх firewall-д өөрчлөлтгүй байлгахыг хүсвэл proxy-г сонго.
Дэмжигдсэн клиент аль хэдийн хүчтэй өгөгдлийн сангийн итгэмжлэлтэй бөгөөд сүлжээний баг портыг нээхэд бэлэн бол шууд замыг сонго. Аль ч тохиолдолд амжилттай холболтоор биш, бодит асуулгаар шалга: холбогдож, мэдэгдэж буй хүснэгтэд нэг уншилт хийж, сервер таны сессийн талаар юу харж байгааг шалга.
VPN дахин холбогдсоны дараа хугацаа нь дууссан итгэмжлэл, алга болсон хувийн зам, өгөгдлийн сан руу нэвтрэхээс татгалзсаныг гурван өөр алдаа гэж үз. Тэдгээрийн зөвхөн нэг нь сүлжээний асуудал бөгөөд зөвхөн нэг нь хэзээ нэгэн цагт firewall дүрэм өөрчлөхөд хүргэх ёстой.