Cloud SQL Auth Proxy iyo marinka VPN tooska ah ee keydka xogta
Auth Proxy iyo marinka VPN tooska ah waxay xalliyaan laba qaybood oo kala duwan oo isku dhibaato ah. Marka hore isbarbardhig oggolaanshaha isku-xidhka, dekedaha iyo gelitaanka keydka xogta.
Waxaa jira laba siyaabood oo macquul ah oo looga gaaro Cloud SQL instance gaar ah kombuyuutar ku yaal VPN-ka. Mid waa xiriir toos ah oo la xiriira cinwaanka gaarka ah ee instance-ka iyada oo la marayo dariiqa aad hore u haysato. Tan kale waa Cloud SQL Auth Proxy, kaas oo dhageysta loopback oo isagu fura xiriirka Cloud SQL. Kuwani ma aha badeecooyin tartan ah inta badan, laakiin waa laba jawaabood oo kala duwan oo su'aasha ah yaa haysta aqoonsiga iyo yaa haysta dariiqa. Doorasho khaldan waxay inta badan u muuqataa qalad oggolaansho oo loo akhriyo qalad shabakad.
Waa kan isbarbardhigga aan hor dhigi lahaa koox, ka dibna baaritaannada dhab ahaan go'aamiya.
Laba dariiqo oo isku instance ah
Dariiqa tooska ah wuxuu isticmaalaa dariiqa private-services-access ee ka imanaya shabakaddaada una socda VPC mashruuca. Macmiilkaagu wuxuu PostgreSQL kula hadlaa cinwaanka gaarka ah ee instance-ka, xiriirkuna wuxuu ku noolaadaa ama ku dhintaa habaynta dariiqa, xeerarka firewall iyo aqoonsiga keydka xogta.
Dariiqa proxy wuxuu isticmaalaa isla dariiqa laakiin wuxuu ku darayaa hab hawleed maxalli ah. Proxy wuxuu isku caddeeyaa Google API isagoo isticmaalaya default credentials-ka barnaamijkaaga, wuxuu furaa xiriir instance-ka iyada oo loo marayo connector, wuxuuna soo bandhigaa deked loopback oo macmiilkaagu u arko PostgreSQL. Laba bood ayaa noqda saddex, tan dhexe waxay qaaddaa oggolaanshaha IAM. Dariiqa VPN weli adigaa mas'uul ka ah, proxy-na waligiis uma arko beddelka baaritaankaas.
Maxay dariiq kastaa dhab ahaan oggolaataa
Farqiga ugu muhiimsan waa waxa doorasho kastaa kuu oggolaan karto adiga:
| Question | Direct private IP | Auth Proxy |
|---|---|---|
| Who proves identity to the network | Your client, through the VPN and a database login | The proxy, through IAM to Google's API |
| IAM role needed for the connector | None | Cloud SQL Client or equivalent |
| Database user authentication | Always required | Still required unless IAM database authentication is enabled |
| Shape of the local leg | Client to instance | Client to loopback, proxy to instance |
Baaritaanka IAM ee proxy iyo gelitaanka keydka xogta waa laba albaab oo kala duwan, mid ka gudubtuna ma furo tan kale. Kooxda damiirta proxy oo u qaadata in akoonka barnaamijka aan hadda loo baahnayn waxay galab ku qaadan doontaa fashilalka furaha sirta ah oo aan wax xiriir ah la lahayn shabakadda.
Dekedaha iyo dariiqyada, dhinac dhinac
Proxy wuxuu u baahan yahay TCP 443 baxa oo loogu talagalay API iyo TCP 3307 xiriirka instance-ka, labadaba waxaa lagu sharraxay guudmarka Auth Proxy ee Google. Dariiqaaga VPN wuxuu daboolaa tan labaad; tan koowaad caadi ahaan waxay ku baxdaa dariiqa caadiga ah.
Xiriir toos ah wuxuu u baahan yahay in dekedda PostgreSQL ee instance-ka laga gaaro dariiqa gaarka ah, taas oo ah wada-hadal firewall ah oo gabi ahaan ka duwan. Haddii kooxdaada shabakaddu ay oggolaato oo kaliya 443 baxa oo ka imanaya subnet-yada macmiilka, proxy way ku habboon tahay iyada oo aan xeer la beddelin, dariiqa tooska ahna ma habboona. Xaqiiqadan kaliya ayaa go'aamisa doorashada inta badan ka badan doorbid kasta oo dhismeed.
Mid kasta oo ka mid ah labada dariiqo ma u baahna in instance-ku yeesho cinwaan dadweyne, midkoodna ma caddeeyo in mid lagu daro.
Halka proxy aanay caawin
Proxy ma hagaajiso dariiq maqan. Haddii dariiqa private-services-access aanu jirin, ama VPN aanu qaadin, connector wuu fashilmaa halka dhageystaha maxalliga ah weli fadhiisto oo dhageysanaya, taasina waa qaybta jahawareerka leh.
Sidoo kale ma ilaaliso qaybta u dhaxaysa barnaamijkaaga iyo proxy. Hal kombuyuutar qaybtaas waa loopback waana hagaagsan tahay. Haddii aad dhageystaha ku xidho cinwaan wildcard si uu saaxiib ku gaaro, waxaad dhistay albaab keyd xog oo aan la xaqiijin oo waxaad ugu yeertay fudayd. Ku hay loopback oo u daa saaxiibka inuu isagu helo aqoonsigiisa.
Oo kama dhigto Private Service Connect iyo private services access kuwo is-beddelmi kara. Instance PSC wuxuu u baahan yahay habaynta DNS u gaar ah iyo wicitaanka --psc halkii qaabka --private-ip.
Dooro, ka dibna si kastaba ha ahaatee xaqiiji
Dooro proxy marka aad rabto IAM dariiqa, aqoonsiyo muddo gaaban ah iyo wax is-beddel ah oo firewall-ka soo galaya.
Dooro dariiqa tooska ah marka macmiil la taageeray uu hore u haysto aqoonsiyo xog oo xoog leh iyo kooxda shabakaddu ay diyaar u tahay inay furto dekedda. Si kastaba ha ahaatee, ku xaqiiji weydiin dhab ah halkii xiriir guulaystay: isku xidh, ku socodsii hal akhris miis la yaqaan, oo eeg waxa server-ku arko seshankaaga.
Ka dib dib-u-xiriirka VPN, u qaado aqoonsi dhacay, dariiq gaar ah oo maqan iyo diidmada gelitaanka keydka xogta saddex fashil oo kala duwan. Midkood oo kaliya ayaa dhibaato shabakad ah, midkoodna oo kaliya waa inuu waligiis horseedo beddelka xeer firewall.