Cloud SQL Auth Proxy dhidi ya njia ya moja kwa moja ya VPN kuelekea hifadhidata
Auth Proxy na njia ya moja kwa moja ya VPN hutatua nusu mbili tofauti za tatizo moja. Kwanza linganisha idhini ya kiunganishi, bandari na kuingia kwenye hifadhidata.
Kuna njia mbili za busara za kufikia Cloud SQL instance ya kibinafsi kutoka kwa kompyuta ya mkononi iliyo kwenye VPN. Moja ni muunganisho wa moja kwa moja kwa anwani ya kibinafsi ya instance kupitia njia uliyo nayo tayari. Nyingine ni Cloud SQL Auth Proxy, ambayo husikiliza kwenye loopback na hufungua yenyewe muunganisho kwa Cloud SQL. Hizi si bidhaa shindani sana bali majibu mawili tofauti kwa swali la nani anashikilia kitambulisho na nani anashikilia njia. Chaguo baya kwa kawaida huonekana kama hitilafu ya idhini inayosomeka kama hitilafu ya mtandao.
Huu ni ulinganisho ambao ningeuweka mbele ya timu, ukifuatiwa na ukaguzi ambao kwa kweli huamua.
Njia mbili kuelekea instance moja
Njia ya moja kwa moja hutumia njia ya private-services-access kutoka mtandao wako hadi VPC ya mradi. Mteja wako huzungumza PostgreSQL na anwani ya kibinafsi ya instance, na muunganisho huishi au hufa kwa uelekezaji, kanuni za firewall na vitambulisho vya hifadhidata.
Njia ya proksi hutumia njia hiyo hiyo lakini huongeza mchakato wa ndani. Proksi hujithibitisha kwa Google API kwa default credentials za programu yako, hufungua muunganisho kwa instance kupitia kiunganishi na kuonyesha bandari ya loopback ambayo mteja wako anaichukulia kama PostgreSQL. Kuruka mbili huwa tatu, na ile ya kati hubeba idhini ya IAM. Njia ya VPN bado ni yako kuitunza, na proksi kamwe haichukulii kama mbadala wa ukaguzi huo.
Kila njia kwa kweli inaidhinisha nini
Tofauti muhimu zaidi ni kile kila chaguo linaweza kuidhinisha kwa niaba yako:
| Question | Direct private IP | Auth Proxy |
|---|---|---|
| Who proves identity to the network | Your client, through the VPN and a database login | The proxy, through IAM to Google's API |
| IAM role needed for the connector | None | Cloud SQL Client or equivalent |
| Database user authentication | Always required | Still required unless IAM database authentication is enabled |
| Shape of the local leg | Client to instance | Client to loopback, proxy to instance |
Ukaguzi wa IAM wa proksi na kuingia kwenye hifadhidata ni malango mawili tofauti, na kupita moja hakufungui lingine. Timu inayowasha proksi na kudhani akaunti ya programu haihitajiki tena itatumia mchana mzima kwenye kushindwa kwa nenosiri ambako hakuhusiani na mtandao.
Bandari na njia, kando kando
Proksi inahitaji TCP 443 inayotoka kwa API na TCP 3307 kwa muunganisho wa instance, zote zimeelezwa katika muhtasari wa Auth Proxy wa Google. Njia yako ya VPN inashughulikia ya pili; ya kwanza kwa kawaida hutoka kwa njia ya kawaida.
Muunganisho wa moja kwa moja unahitaji bandari ya PostgreSQL ya instance ifikiwe kupitia njia ya kibinafsi, ambayo ni mazungumzo tofauti kabisa ya firewall. Ikiwa timu yako ya mtandao inaruhusu tu 443 inayotoka kutoka subneti za wateja, proksi inafaa bila mabadiliko ya kanuni na njia ya moja kwa moja haifai. Ukweli huo mmoja huamua chaguo mara nyingi zaidi kuliko upendeleo wowote wa usanifu.
Hakuna njia yoyote inayohitaji instance iwe na anwani ya umma, na hakuna inayohalalisha kuongeza moja.
Ambapo proksi haisaidii
Proksi haitengenezi njia inayokosekana. Ikiwa njia ya private-services-access haipo, au VPN haisafirishi, kiunganishi hushindwa wakati msikilizaji wa ndani bado amekaa hapo akisikiliza, na hiyo ndiyo sehemu inayochanganya.
Pia hailindi sehemu kati ya programu yako na proksi. Kwenye kompyuta moja ya mkononi sehemu hiyo ni loopback na ni sawa. Ikiwa utafunga msikilizaji kwa anwani ya wildcard ili mwenzako aweze kuifikia, umejenga lango la hifadhidata lisilo na uthibitishaji na ukaliita urahisi. Iweke kwenye loopback na umruhusu mwenzako apate kitambulisho chake mwenyewe.
Na haifanyi Private Service Connect na private services access kubadilishana. Instance ya PSC inahitaji mpangilio wake wa DNS na wito wa --psc badala ya umbo la --private-ip.
Chagua, kisha thibitisha kwa vyovyote
Chagua proksi unapotaka IAM kwenye njia, vitambulisho vya muda mfupi na hakuna mabadiliko kwenye firewall inayoingia.
Chagua njia ya moja kwa moja wakati mteja anayetumika tayari ana vitambulisho imara vya hifadhidata na timu ya mtandao iko tayari kufungua bandari. Kwa vyovyote, thibitisha kwa swali halisi badala ya muunganisho uliofanikiwa: unganisha, endesha usomaji mmoja kwenye jedwali linalojulikana na uangalie kile seva inachokiona kuhusu kikao chako.
Baada ya kuunganisha tena VPN, chukulia kitambulisho kilichokwisha muda, njia ya kibinafsi inayokosekana na kukataliwa kwa kuingia kwenye hifadhidata kama hitilafu tatu tofauti. Ni moja tu kati yao ambayo ni tatizo la mtandao, na ni moja tu inayopaswa kuwahi kusababisha kubadilisha kanuni ya firewall.