Cloud SQL Auth Proxy ose një rrugë e drejtpërdrejtë VPN drejt bazës së të dhënave
Auth Proxy dhe një rrugë e drejtpërdrejtë VPN zgjidhin gjysma të ndryshme të të njëjtit problem. Fillimisht krahasoni autorizimin e konektorit, portat dhe hyrjen në bazën e të dhënave.
Ka dy mënyra të arsyeshme për të arritur një instancë private Cloud SQL nga një laptop në VPN. Njëra është një lidhje e drejtpërdrejtë me adresën private të instancës përmes rrugës që keni tashmë. Tjetra është Cloud SQL Auth Proxy, i cili dëgjon në loopback dhe hap vetë lidhjen me Cloud SQL. Ato nuk janë aq produkte konkurruese sa dy përgjigje të ndryshme për pyetjen se kush mban kredencialet dhe kush mban rrugën. Një zgjedhje e gabuar zakonisht shfaqet si një gabim autorizimi që lexohet si gabim rrjeti.
Këtu është krahasimi që do të vendosja përpara një ekipi, i ndjekur nga kontrollet që e vendosin vërtet.
Dy rrugë drejt të njëjtës instancë
Rruga e drejtpërdrejtë përdor rrugën private-services-access nga rrjeti juaj në VPC-në e projektit. Klienti juaj flet PostgreSQL me adresën private të instancës, dhe lidhja jeton ose vdes mbi rrugëtimin, rregullat e firewall dhe kredencialet e bazës së të dhënave.
Rruga përmes proxy përdor të njëjtën rrugë por shton një proces lokal. Proxy autentifikohet në Google API me default credentials e aplikacionit tuaj, hap një lidhje me instancën përmes konektorit dhe ekspozon një port loopback që klienti juaj e trajton si PostgreSQL. Dy kërcime bëhen tre, dhe ai i mesit mbart autorizimin IAM. Rruga VPN mbetet e juaja për t'u mirëmbajtur, dhe proxy nuk e konsideron kurrë zëvendësues të asaj kontrolli.
Çfarë autorizon në të vërtetë secila rrugë
Dallimi më i rëndësishëm është çfarë mund të autorizojë secili opsion për ju:
| Question | Direct private IP | Auth Proxy |
|---|---|---|
| Who proves identity to the network | Your client, through the VPN and a database login | The proxy, through IAM to Google's API |
| IAM role needed for the connector | None | Cloud SQL Client or equivalent |
| Database user authentication | Always required | Still required unless IAM database authentication is enabled |
| Shape of the local leg | Client to instance | Client to loopback, proxy to instance |
Kontrolli IAM i proxy dhe hyrja në bazën e të dhënave janë dy porta të veçanta, dhe kalimi nëpër njërën nuk hap tjetrën. Një ekip që aktivizon proxy dhe supozon se llogaria e aplikacionit nuk nevojitet më do të kalojë një pasdite me dështime fjalëkalimi që nuk kanë asnjë lidhje me rrjetin.
Portat dhe rrugët, krah për krah
Proxy ka nevojë për TCP 443 dalës për API dhe TCP 3307 për lidhjen me instancën, të dyja të përshkruara në përmbledhjen e Auth Proxy të Google. Rruga juaj VPN mbulon të dytën; e para zakonisht del në rrugën e zakonshme.
Një lidhje e drejtpërdrejtë kërkon që porta PostgreSQL e instancës të jetë e arritshme përmes rrugës private, që është një bisedë krejt tjetër për firewall. Nëse ekipi juaj i rrjetit lejon vetëm 443 dalës nga nënrrjetet e klientëve, proxy përshtatet pa ndryshuar asnjë rregull dhe rruga e drejtpërdrejtë nuk përshtatet. Ky fakt i vetëm e vendos zgjedhjen më shpesh se çdo preferencë arkitekturore.
Asnjëra rrugë nuk kërkon që instanca të ketë një adresë publike, dhe asnjëra nuk justifikon shtimin e një të tillë.
Ku proxy nuk ndihmon
Proxy nuk rregullon një rrugë që mungon. Nëse rruga private-services-access mungon, ose VPN nuk e transporton, konektori dështon ndërsa dëgjuesi lokal vazhdon të rrijë atje dhe të dëgjojë, dhe kjo është pjesa konfuze.
Ai gjithashtu nuk mbron segmentin midis aplikacionit tuaj dhe proxy. Në një laptop të vetëm ai segment është loopback dhe është në rregull. Nëse e lidhni dëgjuesin me një adresë wildcard që një koleg të arrijë tek ai, keni ndërtuar një portë baze të dhënash pa autentikim dhe e keni quajtur komoditet. Mbajeni në loopback dhe lëreni kolegun të marrë kredencialet e tij.
Dhe nuk i bën Private Service Connect dhe private services access të këmbyeshme. Një instancë PSC ka nevojë për rregullimin e vet të DNS dhe thirrjen --psc në vend të formës --private-ip.
Zgjidhni dhe më pas verifikoni në çdo rast
Zgjidhni proxy kur dëshironi IAM në rrugë, kredenciale afatshkurtra dhe asnjë ndryshim në firewall-in hyrës.
Zgjidhni rrugën e drejtpërdrejtë kur një klient i mbështetur ka tashmë kredenciale të forta të bazës së të dhënave dhe ekipi i rrjetit është i gatshëm të hapë portën. Në çdo rast, verifikoni me një pyetësor të vërtetë dhe jo me një lidhje të suksesshme: lidhuni, ekzekutoni një lexim mbi një tabelë të njohur dhe shikoni çfarë sheh serveri për sesionin tuaj.
Pas një rilidhjeje VPN, trajtoni një kredencial të skaduar, një rrugë private që mungon dhe një refuzim të hyrjes në bazën e të dhënave si tre dështime të ndryshme. Vetëm njëri është problem rrjeti, dhe vetëm njëri duhet të çojë ndonjëherë në ndryshimin e një rregulli firewall.