הגדרת קישוריות באמצעות מנהרת SSH הפוכה

אפשר ליצור קישוריות ממסד הנתונים של היעד למסד הנתונים של המקור באמצעות מנהרת SSH הפוכה ומאובטחת. השיטה הזו דורשת מכונה וירטואלית של מארח bastion ב Google Cloud פרויקט, וגם מכונה (לדוגמה, מחשב נייד ברשת) שיש לה קישוריות למסד הנתונים של המקור.

חשוב: אם המקור נמצא ב-VPN (לדוגמה, ב-AWS או ב-VPN מקומי משלכם), בפרופיל החיבור של המקור צריך להשתמש בכתובת ה-IP וביציאה של ה-VPN במקום בכתובת ה-IP וביציאה של המקור.

Database Migration Service אוסף את המידע הנדרש בזמן יצירת המיגרציה, ונוצר אוטומטית את הסקריפט להגדרת הכול.

תרשים 1. דוגמה לרשת להעברה: קישוריות למקור דרך מנהרת SSH. (לחצו להגדלה)

הגדרת מנהרת SSH הפוכה

השלבים הבאים מבוצעים בתהליך של Database Migration Service כדי ליצור משימת העברה, במטרה להגדיר מנהרת SSH הפוכה בין מסד הנתונים של המקור לבין המכונה של Cloud SQL. אחרי שמספקים כמה פרמטרים, מריצים קבוצה של פקודות gcloud במכונה שיש לה קישוריות גם למסד הנתונים של המקור וגם ל- Google Cloud.

1. בוחרים את המכונה הווירטואלית שמשמשת ליצירת קישוריות בין מסד הנתונים של המקור לבין המכונה של Cloud SQL. בדרך כלל מדובר במכונה וירטואלית שפועלת ב-VPC שבו פועלת האפליקציה שניגשת למסד הנתונים החדש של Cloud SQL. מכונת ה-VM משמשת כשרת המבוצר של מנהרת ה-SSH.

2. לשם כך, אתם יכולים להשתמש במכונה וירטואלית קיימת של Compute Engine.

   1. בוחרים את המכונה הווירטואלית (VM) של Compute Engine מהרשימה.

   2. מציינים יציאה פנויה שמנהרת ה-SSH יכולה להשתמש בה.

   הערה: כדי שמנהרת ה-SSH ההפוכה תפעל, צריך להגדיר את הפרמטר GatewayPorts ל-yes בקובץ /etc/ssh/sshd_config בשרת היעד. אחרי שמעדכנים את הקובץ, מפעילים מחדש את שירות ה-sshd באמצעות הפקודה sudo systemctl restart sshd.service.
   
   אם אתם לא רוצים לשנות את ההגדרות של המכונה הווירטואלית הקיימת, אתם יכולים ליצור מכונה וירטואלית חדשה.

3. אפשר גם ליצור מכונה וירטואלית חדשה בשלב הזה. בוחרים באפשרות CREATE A COMPUTE ENGINE VM INSTANCE והתסריט שנוצר כולל הוראות ליצירת הסצנה.

   1. נותנים שם למכונה הווירטואלית.

   2. בוחרים את סוג המכונה הווירטואלית.

   3. ציון רשת משנה למכונה הווירטואלית

   הערה: מכונה וירטואלית של Compute Engine שנוצרה על ידי הסקריפט לא מנוהלת על ידי Database Migration Service. אם נוצר מכון, הארגון שלכם מחויב על המכון לפי התמחור הרגיל, והוא אחראי לניהול שלו, כולל מחיקת המכון כשכבר לא צריך אותו.

4. כדי לראות את התסריט שנוצר, לוחצים על הצגת התסריט.

   כברירת מחדל, הסקריפט ייצור כתובת IP ציבורית לשרת של מכונת ה-VM ב-Compute Engine. אם רוצים שכתובת ה-IP תהיה פרטית, מבצעים את הפעולות הבאות:

   • משנים את הפקודה gcloud compute instances create על ידי הוספת הדגל --no-address.
   • משנים את הפקודה gcloud compute ssh על ידי הוספת הדגל --internal-ip.

   בנוסף, אם רוצים ליצור VM של יעד מבוצר ברשת משנה שנמצאת ב-VPC משותף, צריך לשנות את הפקודה export SUBNET_NAME מהסקריפט שנוצר כך שתפנה אל /projects/project_name/regions/region_name/subnetworks/subnetwork_name.

   לדוגמה:

   export SUBNET_NAME=projects/myproject/regions/myregion/subnetworks/mysubnetwork

   ‫project_name הוא שם הפרויקט שבו נמצא ה-VPC המשותף. בפרויקט יש אזורים ורשתות משנה. ‫region_name ו-subnetwork_name הם השמות של האזור ושל רשת המשנה שמשויכים לפרויקט ה-VPC.

5. מריצים את הסקריפט במכונה שיש לה גישה גם למסד הנתונים של המקור וגם למכונה הווירטואלית של Compute Engine. הסקריפט מבצע את הפעולות הבאות:

   • מגדיר את המכונה הווירטואלית של Compute Engine כשרת מבוצר של מנהרת SSH.

   • יוצר חיבור SSH מאובטח בין מסד הנתונים של המקור לבין ה-VPC.

   • אם אתם יוצרים מכונה וירטואלית חדשה ב-Compute Engine, אחרי שהסקריפט יפעל בהצלחה, העתיקו את כתובת ה-IP של שרת המכונה הווירטואלית מהפלט של הסקריפט והזינו אותה בשדה הטקסט שמופיע. מכונת Cloud SQL תתעדכן לפי הצורך כשתבדקו או תתחילו את משימת ההעברה.

6. לוחצים על הגדרה והמשך.

7. מאמתים את משימת ההעברה כדי לוודא שהנתונים הועברו בצורה תקינה ממכונת מסד הנתונים של המקור למכונת מסד הנתונים של היעד ב-Cloud SQL.

8. בהתאם לארכיטקטורת הרשת, יכול להיות שתצטרכו להגדיר שערי VPN נוספים במערכת. מידע נוסף זמין במאמרים הבאים במסמכי התיעוד של Cloud VPN: יצירת חיבורי HA VPN בין Google Cloud ל-AWS או יצירת חיבורי HA VPN בין Google Cloud ל-Azure.

9. אחרי שמגדירים את משימת ההעברה, מאמתים את הקישוריות ומגדירים את ה-VPN (אם צריך), אפשר להריץ את המשימה.