Cloud SQL Auth Proxy د معلوماتي اډانې ته د مستقیم VPN لارې پر وړاندې
Auth Proxy او مستقیمه VPN لاره د یوې ستونزې مختلفې نیمې حل کوي. لومړی د کنکټر اجازه، پورټونه او معلوماتي اډانې ته ننوتل پرتله کړئ.
له VPN سره تړلي لیپ ټاپ څخه خصوصي Cloud SQL انسټنس ته رسېدو لپاره دوه هوښیارې لارې شته. یوه دا چې ستاسو د مخکې موجودې لارې له مخې د انسټنس خصوصي پتې ته مستقیم اړیکه. بله Cloud SQL Auth Proxy ده، چې په loopback اورېدل کوي او Cloud SQL ته اړیکه پخپله پرانیزي. دا د سیالو محصولاتو په پرتله د «اجازه لیک څوک لري او لار څوک لري» پوښتنې ته دوه بېلې ځوابونه دي. ناسم انتخاب معمولاً د اجازې تېروتنې په بڼه څرګندیږي، چې د شبکې د تېروتنې په څېر لوستل کیږي.
دا هغه پرتله ده چې زه به یې د یوې ډلې مخې ته وړاندې کړم، او وروسته هغه کتنې چې واقعاً پرېکړه کوي.
یوې انسټنس ته دوې لارې
مستقیمه لاره ستاسو له شبکې څخه د پروژې VPC ته private-services-access لاره کاروي. ستاسو کلاینټ د انسټنس له خصوصي پتې سره PostgreSQL بولي، او اړیکه پر روټینګ، firewall قواعدو او د معلوماتي اډانې پر اجازه لیکونو ژوندې یا مړه کیږي.
د پروکسي لاره هماغه لاره کاروي خو یو ځایي بهیر زیاتوي. پروکسي ستاسو د اپلیکیشن default credentials سره Google API ته تصدیق کوي، د کنکټر له لارې انسټنس ته اړیکه پرانیزي او یو loopback پورټ وړاندې کوي چې ستاسو کلاینټ یې PostgreSQL ګڼي. دوه ټوپونه درې کیږي، او منځنی یې IAM اجازه لېږدوي. VPN لاره لا هم ستاسو د ساتنې ده، او پروکسي هغه هېڅکله د دې کتنې بدیل نه ګڼي.
هره لاره واقعاً څه اجازه ورکوي
تر ټولو مهم توپیر دا دی چې هره انتخاب ستاسو په استازیتوب څه اجازه ورکولی شي:
| Question | Direct private IP | Auth Proxy |
|---|---|---|
| Who proves identity to the network | Your client, through the VPN and a database login | The proxy, through IAM to Google's API |
| IAM role needed for the connector | None | Cloud SQL Client or equivalent |
| Database user authentication | Always required | Still required unless IAM database authentication is enabled |
| Shape of the local leg | Client to instance | Client to loopback, proxy to instance |
د پروکسي IAM کتنه او معلوماتي اډانې ته ننوتل دوه جلا دروازې دي، او له یوې تېرېدل بله نه پرانیزي. هغه ډله چې پروکسي فعاله کړي او انګېزه وکړي چې د اپلیکیشن حساب نور اړین نه دی، یوه ماسپښین به پر هغو پټنوم ناکامیو تېر کړي چې له شبکې سره هېڅ تړاو نه لري.
پورټونه او لارې، څنګ په څنګ
پروکسي ته د API لپاره بهر وتونکی TCP 443 او د انسټنس اړیکې لپاره TCP 3307 ته اړتیا ده، دواړه د Google د Auth Proxy کتنې کې تشریح شوي. ستاسو VPN لاره دویمه پوښي؛ لومړی معمولاً د عادي لارې له مخې وځي.
مستقیمه اړیکه غواړي چې د انسټنس PostgreSQL پورټ د خصوصي لارې له مخې د لاسرسي وړ وي، چې دا یو بشپړ بل firewall بحث دی. که ستاسو شبکه یوازې د کلاینټ فرعي شبکو څخه 443 بهر وتل اجازه ورکوي، پروکسي پرته له کوم قاعده بدلون ځای پیدا کوي او مستقیمه لاره نه. همدا یو واقعیت تر هر معماري غوراوي ډېر ځله انتخاب ټاکي.
له دوو لارو هېڅ یوه نه غواړي چې انسټنس عامه پته ولري، او هېڅ یوه یې هم د یوې زیاتولو توجیه نه کوي.
چېرې چې پروکسي مرسته نه کوي
پروکسي ورکه لاره نه جوړوي. که private-services-access لاره نه وي، یا VPN هغه نه لېږدوي، کنکټر ناکام کیږي په داسې حال کې چې ځایي اورېدونکی لا هم هلته ناست اورېدل کوي، او ګډوډوونکې برخه همدا ده.
هغه ستاسو د اپلیکیشن او پروکسي تر منځ برخه هم نه ساتي. پر یو لیپ ټاپ هغه برخه loopback ده او سمه ده. که اورېدونکی د یو wildcard پتې سره وتړئ تر څو همکار ورته ورسیږي، تاسو بې تصدیقې معلوماتي اډانې دروازه جوړه کړې او هغه اسانتیا بللې ده. هغه پر loopback وساتئ او همکار ته اجازه ورکړئ چې خپل اجازه لیک پخپله ترلاسه کړي.
او هغه Private Service Connect او private services access یو د بل بدیل نه جوړوي. PSC انسټنس خپل DNS ترتیب او --psc غوښتنې ته اړتیا لري، نه د --private-ip بڼې ته.
وټاکه، بیا په هر حال کې تصدیق کړه
پروکسي وټاکه کله چې په لاره کې IAM، لنډمهاله اجازه لیکونه او د ننوتونکي firewall کې هېڅ بدلون نه غواړې.
مستقیمه لاره وټاکه کله چې یو ملاتړ شوی کلاینټ لا دمخه پیاوړي د معلوماتي اډانې اجازه لیکونه لري او شبکه یې د پورټ پرانیستلو لپاره چمتو ده. په هر حال کې په ریښتینې پوښتنې تصدیق کړه نه په بریالۍ اړیکه: وصل شه، پر یو پېژندل شوي جدول یوه لوستنه وچلاوه او وګوره چې سرور ستاسو د غونډې په اړه څه ویني.
له VPN بیا تړلو وروسته، پای ته رسېدلي اجازه لیک، ورکه خصوصي لاره او د معلوماتي اډانې د ننوتلو رد درې بېلې ناکامۍ وګڼه. له دوی څخه یوازې یوه شبکه ستونزه ده، او یوازې یوه باید هېڅکله د firewall قاعدې بدلولو ته ورسوي.