VPN üzerinden Cloud SQL özel IP: kimsenin dışa aktarmadığı rota

Pek çok ekip Cloud SQL özel IP'sinin yalnızca VPC içinden çalıştığına inanır ve bu inanç sürer çünkü hata bir veritabanı sorunu gibi görünür. Google, Cloud VPN veya Cloud Interconnect ile bağlanan ağlardan erişimi belgeler. Bu ağlara gereken özel bir veritabanı özelliği değil, yarım yapılandırılmış bırakılması kolay iki rota alışverişidir. Tünel kalkar, hesaplama örnekleri yanıt verir ve veritabanı bağlantısı zaman aşımına uğrar — insanları yanlış konsola gönderen tam da bu bileşimdir.

Mit: özel IP, VPC'ye özel anlamına gelir

Özel hizmetlere erişim, ağınız ile Google'ın sahip olduğu bir üretici ağı arasındaki VPC eşlemesidir. Hizmet için ayrılan aralık üretici tarafında yaşar ve örnek adresi onun içindedir. Bu eşleme sayesinde projenizdeki bir veritabanı, sizin açık bir alt ağınız onu içermese de VPC'nizin yönlendirdiği bir adreste oturabilir.

Eşleme olduğu için eşleme davranışı da vardır; özel rotaların otomatik geçmediği kısım da buna dahildir.

Mit: çalışan bir tünel veritabanı rotasını beraberinde taşır

İki aralık bu yolculuğu atlatmalıdır. Birincisi istemci önekidir: yerel ağınız Cloud Router tarafından belirli öneklerle bilinmelidir, çünkü varsayılan bir rota üretici ağının dönüş yolu için gereksinim duyduğu içe aktarmayı sağlayamaz. İkincisi ayrılan hizmet aralığıdır; dış taraf bunu öğrenmelidir ki veritabanına giden paketlerinin gidecek bir yeri olsun. Bunlar farklı sınırlarda bakımı yapılan farklı rotalardır ve birini düzeltmek diğerini bozuk bırakır.

Google tarafında bu, ilgili eşleme bağlantılarında Export custom routes özelliğini açmak ve ayrılan hizmet aralığını tünel için Cloud Router'ın duyurduğu rotalara eklemek anlamına gelir.

Zaten var olan duyuruları koruyun. Hizmet aralığını eklemek, aynı BGP oturumunun diğer trafik için taşıdığı VPC rotalarını kaldırmamalıdır ve bir bütün olarak değiştirilen duyuru kümesi, birincinin arkasına saklanmış ikinci bir kesintidir. Dış cihazdaki etkin rotaları da denetleyin, çünkü VPN geçidine veya başka bir alt ağa ulaşabilmek yalnızca taşımayı kanıtlar.

Mit: Cloud SQL Auth Proxy ağı çözer

The Auth Proxy uygulamanız ile örnek arasında desteklenen kimlik doğrulama ve şifreli taşıma sağlar. Bir rota oluşturmaz. Özel ağa yolu olmayan bir ana makinede başlatılan proxy, doğrudan bağlantı gibi başarısız olur ve günlükleri nedeni konusunda daha az yardımcı olur. Proxy'yi bağlantısı olan bir ana makineye taşımak, yolun hangi bölümünün çalışması gerektiğini değiştirir ve bu bir geçici çözüm değil, gerçek bir tasarım kararıdır.

Yapmadığı şey, bağlantısı kesilmiş bir dizüstü bilgisayarın yalnızca özel bir örneğe ulaşmasını sağlamaktır.

Mit: Private Service Connect aynı kurallara uyar

Private Service Connect, kendi alt ağınızdaki bir endpoint'i ve sizin denetlediğiniz bir DNS düzenini kullanır, bu yüzden oraya giden rota sahip olduğunuz bir adrese giden sıradan bir rotadır. Eşleme dışa aktarma ayarları bu tasarım için geçerli değildir ve eşleme değişikliklerini bir PSC kurulumuna kopyalamak erişilebilirlik eklemeden risk ekler.

İkisi de size özel bir adres verir; benzerlik orada biter.

Yolu doğru sırayla test edin

Dış istemciden önce veritabanının TCP endpoint'ini test edin. Tamamlanmış bir TCP el sıkışması, yönlendirme, güvenlik duvarı ve dinleyicinin hepsinin yerinde olduğu anlamına gelir ve sonraki test izin verilen kimlik doğrulanmış bir işlemdir. O noktada kimlik doğrulamanın reddedilmesi aslında iyi haberdir, çünkü bir veritabanı dinleyicisinin yanıt verdiğini kanıtlar. Bir ICMP zaman aşımı veritabanı erişimi hakkında neredeyse hiçbir şey söylemez, çünkü birçok yol TCP'yi sorunsuz ileterek onu düşürür.

İstemci aralıklarınız RFC 1918 dışındaysa, tasarımın desteklenmediği sonucuna varmadan önce ek rota dışa aktarma ve ağ yetkilendirme gereksinimlerini gözden geçirin.

Bağlantıyla birlikte dört nesne kaydedin: dış öneki, ayrılan hizmet aralığını, ilgili eşleme bağlantılarını ve duyuruyu yapan yönlendiriciyi. Bu dört, tüm özel yolu açıklar ve Cloud SQL'in ya her zaman bir proxy gerektirdiği ya da VPN üzerinden hiç ulaşılamadığı efsanesinin yerini alır.