VPN orqali Cloud SQL shaxsiy IP: hech kim eksport qilmaydigan marshrut

Ko'p jamoalar Cloud SQL shaxsiy IP faqat VPC ichidan ishlaydi deb hisoblaydi va bu ishonch saqlanadi, chunki nosozlik ma'lumotlar bazasi muammosiga o'xshaydi. Google Cloud VPN yoki Cloud Interconnect orqali ulangan tarmoqlardan kirishni hujjatlashtiradi. Bu tarmoqlarga alohida ma'lumotlar bazasi funksiyasi emas, balki yarim sozlangan holda qoldirish oson bo'lgan ikki marshrut almashinuvi kerak. Tunnel ko'tariladi, hisoblash instanslari javob beradi, ma'lumotlar bazasi ulanishi esa vaqt tugashi bilan yakunlanadi — odamlarni noto'g'ri konsolga yuboradigan aynan shu birikma.

Afsona: shaxsiy IP VPC uchun shaxsiy degani

Shaxsiy xizmatlarga kirish bu sizning tarmog'ingiz va Google egaligidagi ishlab chiqaruvchi tarmoq o'rtasidagi VPC peering. Xizmat uchun ajratilgan diapazon ishlab chiqaruvchi tomonida, instans manzili esa uning ichida. Shu peering tufayli loyihangizdagi ma'lumotlar bazasi VPC ingiz marshrutlaydigan manzilda turishi mumkin, garchi sizning hech bir aniq subnetingiz uni o'z ichiga olmasa ham.

Bu peering bo'lgani uchun peering xatti-harakati ham bor, jumladan maxsus marshrutlar avtomatik o'tmaydigan qism.

Afsona: ishlayotgan tunnel ma'lumotlar bazasi marshrutini o'zi bilan olib yuradi

Ikki diapazon bu yo'lni bosib o'tishi kerak. Birinchisi mijoz prefiksi: sizning mahalliy tarmog'ingiz Cloud Router ga aniq prefikslar bilan ma'lum bo'lishi kerak, chunki standart marshrut ishlab chiqaruvchi tarmoqqa qaytish yo'li uchun kerak bo'ladigan importni bera olmaydi. Ikkinchisi ajratilgan xizmat diapazoni, uni tashqi tomon o'rganishi kerak, shunda ma'lumotlar bazasiga ketayotgan paketlarning boradigan joyi bo'ladi. Bular turli chegaralarda saqlanadigan turli marshrutlar, va birini tuzatish ikkinchisini buzilgan holda qoldiradi.

Google tomonida bu tegishli peering ulanishlarida Export custom routes ni yoqish va ajratilgan xizmat diapazonini tunnel uchun Cloud Router e'lon qilgan marshrutlarga qo'shish demakdir.

Allaqachon mavjud e'lonlarni saqlang. Xizmat diapazonini qo'shish o'sha BGP sessiyasi boshqa trafik uchun olib yurgan VPC marshrutlarini olib tashlamasligi kerak, va butunlay almashtirilgan e'lonlar to'plami birinchisining orqasida yashiringan ikkinchi uzilishdir. Tashqi qurilmadagi samarali marshrutlarni ham tekshiring, chunki VPN shlyuziga yoki boshqa subnetga yetib borish faqat transportni isbotlaydi.

Afsona: Cloud SQL Auth Proxy tarmoqni hal qiladi

The Auth Proxy ilovangiz va instans o'rtasida qo'llab-quvvatlanadigan autentifikatsiya va shifrlangan transportni ta'minlaydi. U marshrut yaratmaydi. Shaxsiy tarmoqqa yo'li bo'lmagan hostda ishga tushirilgan proksi xuddi to'g'ridan-to'g'ri ulanish kabi muvaffaqiyatsiz bo'ladi va uning jurnallari sabab haqida kamroq foydali bo'ladi. Proksini ulanishi bor hostga ko'chirish yo'lning qaysi qismi ishlashi kerakligini o'zgartiradi, va bu aylanib o'tish emas, haqiqiy dizayn qarori.

U qilmaydigan narsa — aloqasi uzilgan noutbukning faqat shaxsiy instansga yetib borishiga ruxsat berish.

Afsona: Private Service Connect bir xil qoidalarga bo'ysunadi

Private Service Connect o'z subnetingizdagi endpoint va siz boshqaradigan DNS tartibidan foydalanadi, shuning uchun u yerga boradigan marshrut sizga tegishli manzilga oddiy marshrutdir. Peering eksport sozlamalari bu dizaynga taalluqli emas, va peering o'zgarishlarini PSC joylashtirishga ko'chirish yetib borishni oshirmasdan xavfni oshiradi.

Ikkisi ham sizga shaxsiy manzil beradi; o'xshashlik shu yerda tugaydi.

Yo'lni to'g'ri tartibda sinab ko'ring

Tashqi mijozdan avval ma'lumotlar bazasining TCP endpointini sinab ko'ring. Yakunlangan TCP qo'l siqish marshrutlash, xavfsizlik devori va tinglovchi joyida ekanini bildiradi, keyingi sinov esa ruxsat etilgan autentifikatsiyalangan amaldir. O'sha paytda autentifikatsiyaning rad etilishi aslida yaxshi xabar, chunki ma'lumotlar bazasi tinglovchisi javob berganini isbotlaydi. ICMP vaqt tugashi ma'lumotlar bazasiga kirish haqida deyarli hech narsa demaydi, chunki ko'p yo'llar TCP ni bemalol uzatib, uni tashlab yuboradi.

Agar mijoz diapazonlaringiz RFC 1918 dan tashqarida bo'lsa, dizayn qo'llab-quvvatlanmaydi degan xulosaga kelishdan avval qo'shimcha marshrut eksporti va tarmoq avtorizatsiyasi talablarini ko'rib chiqing.

Ulanish bilan birga to'rt obyektni yozib qo'ying: tashqi prefiks, ajratilgan xizmat diapazoni, ishtirok etgan peering ulanishlari va e'lon qiluvchi router. Shu to'rttasi butun shaxsiy yo'lni tushuntiradi va Cloud SQL yo doim proksi talab qiladi yoki VPN orqali umuman yetib bo'lmaydi degan afsonani almashtiradi.