使用反向 SSH 通道設定連線

您可以透過安全的反向 SSH 通道，建立目的地資料庫與來源資料庫之間的連線。這個方法需要在 Google Cloud 專案中提供堡壘主機 VM，以及可連線至來源資料庫的機器 (例如網路上的筆電)。

重要事項： 如果來源位於 VPN 內 (例如 AWS 或您自己的地端部署 VPN)，來源連線設定檔應使用 VPN IP 位址和通訊埠，而非來源 IP 位址和通訊埠。

資料庫遷移服務會在建立遷移作業時收集必要資訊，並自動生成設定所有項目的指令碼。

圖 1. 移轉網路範例：透過 SSH 通道連線至來源。(按一下即可放大)

設定反向 SSH 通道

在資料庫遷移服務流程中，請按照下列步驟 建立遷移工作，在來源資料庫和 Cloud SQL 執行個體之間設定反向 SSH 通道。提供一些參數後，請在可連線至來源資料庫和 Google Cloud的機器上，執行一組 gcloud 指令。

1. 選取用於在來源資料庫和 Cloud SQL 執行個體之間建立連線的 VM 執行個體。通常，這是在虛擬私有雲中執行的 VM，而存取新 Cloud SQL 資料庫的應用程式也在該虛擬私有雲中執行。VM 執行個體會做為 SSH 通道堡壘伺服器。

2. 您可以使用現有的 Compute Engine VM 執行個體。

   1. 從清單中選擇 Compute Engine VM 執行個體。

   2. 提供 SSH 通道可使用的可用通訊埠。

   注意：如要讓反向 SSH 通道正常運作，請在目標伺服器的 /etc/ssh/sshd_config 檔案中，將 `GatewayPorts` 參數設為 `yes`。更新檔案後，請使用 sudo systemctl restart sshd.service 指令重新啟動 sshd 服務。
   
   如果不想變更現有 VM 的設定，請建立新的 VM。

3. 或者，您也可以在這個步驟建立新的 VM。選取 CREATE A COMPUTE ENGINE VM INSTANCE，產生的指令碼就會包含建立該資源的指示。

   1. 輸入 VM 執行個體的名稱。

   2. 選取 VM 的機型。

   3. 指定 VM 的子網路

   注意：指令碼建立的 Compute Engine VM 執行個體不會由資料庫遷移服務管理。如果建立執行個體，貴機構就必須根據標準價格支付執行個體費用，並負責管理執行個體，包括在不需要時刪除執行個體。

4. 按一下「查看指令碼」，即可查看生成的指令碼。

   根據預設，指令碼會為 Compute Engine VM 伺服器產生公開 IP 位址。如要將 IP 位址設為私人，請按照下列步驟操作：

   • 新增 --no-address 旗標，修改 gcloud compute instances create 指令。
   • 新增 --internal-ip 旗標，修改 gcloud compute ssh 指令。

   此外，如要在 Shared VPC 的子網路上建立堡壘主機 VM，請修改產生的指令碼，將 export SUBNET_NAME 指令指向 /projects/project_name/regions/region_name/subnetworks/subnetwork_name。

   例如：

   export SUBNET_NAME=projects/myproject/regions/myregion/subnetworks/mysubnetwork

   project_name 是 Shared VPC 所在的專案名稱。專案包含區域和子網路。region_name 和 subnetwork_name 是與虛擬私有雲專案相關聯的區域和子網路名稱。

5. 在可存取來源資料庫和 Compute Engine VM 的機器上執行指令碼。這段指令碼會執行下列作業：

   • 將 Compute Engine VM 設為 SSH 通道堡壘伺服器。

   • 在來源資料庫和虛擬私有雲之間建立安全的 SSH 連線。

   • 如果您要建立新的 Compute Engine VM，請在成功執行指令碼後，從指令碼輸出內容複製 VM 伺服器 IP，然後輸入到提供的文字欄位。稍後測試或啟動遷移工作時，系統會視需要更新 Cloud SQL 執行個體。

6. 點選「設定並繼續」。

7. 驗證遷移工作，確認資料已從來源資料庫執行個體正確遷移至目的地 Cloud SQL 資料庫執行個體。

8. 視網路架構而定，您可能需要在系統中設定其他 VPN 閘道。詳情請參閱 Cloud VPN 說明文件的下列頁面： 在 Google Cloud 與 AWS 之間建立高可用性 VPN 連線或 在 Google Cloud 與 Azure 之間建立高可用性 VPN 連線。

9. 設定遷移工作、驗證連線能力，並視需要成功設定 VPN 後，即可執行工作。