IP peribadi Cloud SQL melalui VPN: laluan yang tiada siapa eksport

Banyak pasukan percaya IP peribadi Cloud SQL hanya berfungsi dari dalam VPC, dan kepercayaan itu kekal kerana kegagalan kelihatan seperti masalah pangkalan data. Google mendokumenkan akses dari rangkaian yang disambungkan melalui Cloud VPN atau Cloud Interconnect. Rangkaian itu tidak memerlukan ciri pangkalan data khas, tetapi dua pertukaran laluan yang mudah ditinggalkan separuh dikonfigurasikan. Terowong naik, instans pengiraan menjawab, dan sambungan pangkalan data tamat masa — itulah tepat kombinasi yang menghantar orang ke konsol yang salah.

Mitos: IP peribadi bermaksud peribadi kepada VPC

Akses perkhidmatan peribadi ialah peering VPC antara rangkaian anda dan rangkaian pengeluar milik Google. Julat yang diperuntukkan untuk perkhidmatan itu terletak di sebelah pengeluar, dan alamat instans berada di dalamnya. Peering itulah sebabnya pangkalan data dalam projek anda boleh duduk pada alamat yang VPC anda halakan tanpa mana-mana subnet eksplisit anda mengandunginya.

Kerana ia peering, ia juga mempunyai tingkah laku peering, termasuk bahagian di mana laluan tersuai tidak melintas secara automatik.

Mitos: terowong yang berfungsi membawa laluan pangkalan data bersamanya

Dua julat mesti bertahan dalam perjalanan. Yang pertama ialah awalan klien: rangkaian tempatan anda mesti dikenali oleh Cloud Router dengan awalan tertentu, kerana laluan lalai tidak dapat membekalkan import yang diperlukan rangkaian pengeluar untuk laluan balik. Yang kedua ialah julat perkhidmatan yang diperuntukkan, yang mesti dipelajari oleh pihak luar supaya paketnya ke pangkalan data mempunyai tempat untuk pergi. Ini laluan berbeza yang diselenggara di sempadan berbeza, dan membaiki satu meninggalkan yang lain rosak.

Di sebelah Google, itu bermaksud mendayakan Export custom routes pada sambungan peering yang berkaitan dan menambah julat perkhidmatan yang diperuntukkan ke laluan yang diiklankan Cloud Router untuk terowong itu.

Kekalkan iklan yang sudah ada. Menambah julat perkhidmatan tidak sepatutnya membuang laluan VPC yang dibawa sesi BGP yang sama untuk trafik lain, dan set iklan yang diganti sepenuhnya ialah gangguan kedua yang tersembunyi di belakang yang pertama. Periksa juga laluan berkesan pada peranti luar, kerana dapat mencapai get laluan VPN atau subnet lain hanya membuktikan pengangkutan.

Mitos: Cloud SQL Auth Proxy menyelesaikan rangkaian

The Auth Proxy menyediakan pengesahan yang disokong dan pengangkutan disulitkan antara aplikasi anda dan instans. Ia tidak mencipta laluan. Proksi yang dimulakan pada hos tanpa laluan ke rangkaian peribadi akan gagal sama seperti sambungan langsung, dan lognya kurang membantu tentang sebabnya. Memindahkan proksi ke hos yang mempunyai sambungan mengubah bahagian laluan mana yang mesti berfungsi, dan itu keputusan reka bentuk sebenar, bukan jalan pintas.

Apa yang tidak dilakukannya ialah membenarkan komputer riba yang terputus mencapai instans yang hanya peribadi.

Mitos: Private Service Connect mengikut peraturan yang sama

Private Service Connect menggunakan endpoint dalam subnet anda sendiri dan susunan DNS yang anda kawal, jadi laluan ke sana ialah laluan biasa ke alamat yang anda miliki. Tetapan eksport peering tidak terpakai pada reka bentuk itu, dan menyalin perubahan peering ke penggunaan PSC menambah risiko tanpa menambah kebolehcapaian.

Kedua-duanya memberi anda alamat peribadi; persamaannya berhenti di situ.

Uji laluan dalam susunan yang betul

Dari klien luar, uji endpoint TCP pangkalan data dahulu. Jabat tangan TCP yang selesai bermakna penghalaan, tembok api dan pendengar semuanya ada, dan ujian seterusnya ialah operasi disahkan yang dibenarkan. Penolakan pengesahan sebenarnya berita baik pada ketika itu, kerana ia membuktikan pendengar pangkalan data menjawab. Tamat masa ICMP hampir tidak berkata apa-apa tentang akses pangkalan data, kerana banyak laluan membuangnya sambil memajukan TCP dengan lancar.

Jika julat klien anda di luar RFC 1918, semak keperluan tambahan eksport laluan dan kebenaran rangkaian sebelum membuat kesimpulan bahawa reka bentuk itu tidak disokong.

Catat empat objek bersama sambungan: awalan luar, julat perkhidmatan yang diperuntukkan, sambungan peering yang terlibat dan penghala yang beriklan. Empat itu menjelaskan seluruh laluan peribadi, dan ia menggantikan cerita bahawa Cloud SQL sama ada sentiasa memerlukan proksi atau tidak boleh dicapai melalui VPN sama sekali.