Configurar a conectividade usando o túnel SSH reverso

É possível estabelecer conectividade do banco de dados de destino para o de origem por um túnel SSH reverso seguro. Esse método exige uma VM de Bastion Host no projeto Google Cloud , bem como uma máquina (por exemplo, um laptop na rede) que tenha conectividade com o banco de dados de origem.

Importante: se a origem estiver em uma VPN (na AWS, por exemplo, ou na sua VPN local), o perfil de conexão de origem precisará usar o endereço IP e a porta da VPN em vez do endereço IP e da porta de origem.

O Database Migration Service coleta as informações necessárias no momento da criação da migração e gera automaticamente o script para configurar tudo.

Figura 1. Exemplo de rede de migração: conectividade de origem por um túnel SSH. (Clique para ampliar)

Configurar um túnel SSH reverso

As etapas a seguir são realizadas no fluxo do Database Migration Service para criar um job de migração e configurar um túnel SSH reverso entre o banco de dados de origem e a instância do Cloud SQL. Depois de fornecer alguns parâmetros, você executa um conjunto de comandos gcloud em uma máquina que tenha conectividade com o banco de dados de origem e com Google Cloud.

1. Selecione a instância de VM usada para estabelecer a conectividade entre o banco de dados de origem e a instância do Cloud SQL. Normalmente, essa é uma VM em execução na VPC em que o aplicativo que acessa o novo banco de dados do Cloud SQL é executado. A instância de VM serve como o bastion server do túnel SSH.

2. Você pode usar uma instância de VM do Compute Engine para essa finalidade.

   1. Escolha a instância de VM do Compute Engine na lista.

   2. Forneça uma porta livre que o túnel SSH possa usar.

   Observação: para que o túnel SSH reverso funcione, defina o parâmetro `GatewayPorts` como `yes` no arquivo /etc/ssh/sshd_config no servidor de destino. Depois de atualizar o arquivo, reinicie o serviço sshd usando o comando sudo systemctl restart sshd.service.
   
   Se você não quiser mudar a configuração da VM atual, crie uma nova.

3. Como alternativa, você pode criar uma nova VM nesta etapa. Selecione CREATE A COMPUTE ENGINE VM INSTANCE e o script gerado vai incluir instruções para criá-la.

   1. Forneça um nome para a instância de VM.

   2. Selecione um tipo de máquina para a VM.

   3. Especifique uma sub-rede para a VM.

   Observação: uma instância de VM do Compute Engine criada pelo script não é gerenciada pelo Database Migration Service. Se uma for criada, sua organização será cobrada pela instância com base nos preços padrão e será responsável pelo gerenciamento dela, incluindo a exclusão da instância quando ela não for mais necessária.

4. Clique em VER SCRIPT para conferir o script gerado.

   Por padrão, o script vai gerar um endereço IP público para o servidor de VM do Compute Engine. Se você quiser que o endereço IP seja particular, faça o seguinte:

   • Altere o comando gcloud compute instances create adicionando a flag --no-address.
   • Altere o comando gcloud compute ssh adicionando a --internal-ip flag.

   Além disso, se você quiser criar uma VM de Bastion Host em uma sub-rede que esteja em uma VPC compartilhada, altere o export SUBNET_NAME comando do script gerado para apontar para /projects/project_name/regions/region_name/subnetworks/subnetwork_name.

   Exemplo:

   export SUBNET_NAME=projects/myproject/regions/myregion/subnetworks/mysubnetwork

   project_name é o nome do projeto em que a VPC compartilhada está localizada. Um projeto tem regiões e sub-redes. region_name e subnetwork_name são os nomes da região e da sub-rede associadas ao projeto da VPC.

5. Execute o script em uma máquina que tenha acesso ao banco de dados de origem e à VM do Compute Engine. O script realiza as seguintes operações:

   • Configura a VM do Compute Engine como um bastion server do túnel SSH.

   • Estabelece uma conexão SSH segura entre o banco de dados de origem e a VPC.

   • Se você estiver criando uma nova VM do Compute Engine, depois de executar o script, copie o IP do servidor de VM da saída do script e insira-o no campo de texto fornecido. A instância do Cloud SQL será atualizada conforme necessário quando você testar ou iniciar o job de migração mais tarde.

6. Clique em CONFIGURAR E CONTINUAR.

7. Verifique o job de migração para confirmar se ele migrou corretamente os dados da instância de banco de dados de origem para a instância de banco de dados de destino do Cloud SQL.

8. Dependendo da arquitetura de rede, talvez seja necessário configurar outros gateways de VPN no sistema. Para mais informações, consulte as seguintes páginas Criar conexões VPN de alta disponibilidade entre o Google Cloud e a AWS ou Criar conexões VPN de alta disponibilidade entre o Google Cloud e o Azure na documentação do Cloud VPN.

9. Depois que o job de migração for configurado, a conectividade for verificada e as VPNs forem configuradas com êxito, se necessário, você poderá executar o job.