Métodos de rede para conectividade do banco de dados de origem

Para migrar dados do servidor de banco de dados de origem para o cluster de destino do AlloyDB para PostgreSQL, o Database Migration Service precisa se conectar à sua instância de origem. Essa conexão pode ser estabelecida pela Internet pública ou por uma série de conexões privadas na nuvem privada virtual (VPC) do seu projeto.

Esta página oferece uma visão geral de cada método de conectividade de banco de dados de origem disponível, bem como uma seção de recomendação para ajudar você a escolher a solução certa para sua migração:

• A comparação de métodos oferece uma tabela comparativa dos métodos de conectividade de origem disponíveis.

• A lista de permissões de IP descreve a conectividade de rede com o IP público do banco de dados de origem.

• O túnel SSH com encaminhamento oferece uma visão geral dos túneis Secure Shell (SSH) dedicados.

• A conectividade privada com interfaces do Private Service Connect descreve como se conectar ao IP privado de origem com anexos de rede.

• A conectividade privada com peering de VPC descreve como estabelecer uma conexão com o IP privado do banco de dados de origem em redes VPC com peering.

Depois de se familiarizar com diferentes métodos de conectividade e seus requisitos, use o diagrama de árvore de decisão para escolher a solução certa para seu cenário.

Comparação de métodos

Cada método de conectividade tem benefícios e requisitos diferentes. Use a tabela a seguir para compará-los rapidamente e confira mais detalhes nas seções dedicadas a cada método.

Método de rede	Vantagens	Desvantagens
Lista de permissões de IP	O método de conectividade mais fácil de configurar. Útil quando o banco de dados de origem não pode ser acessado por redes privadas em Google Cloud.	Exige que você exponha um endereço IPv4 do servidor de banco de dados de origem à Internet pública. Isso requer medidas de segurança extras. Por exemplo, recomendamos que você use certificados TLS e regras de firewall para proteger a conexão. A configuração das regras de firewall pode exigir assistência do departamento de TI. O Database Migration Service não oferece suporte à conectividade direta com bancos de dados usando o recurso Single Client Access Name (SCAN) em ambientes do Oracle Real Application Clusters (RAC). Para possíveis soluções para usar a conectividade de lista de permissões de IP público com esses ambientes, consulte Solução de problemas de erros do Oracle SCAN.
Túnel SSH com encaminhamento	Mais seguro do que se conectar por IP público com uma lista de permissões de IP. A conexão inicial é estabelecida por portas Secure Shell (SSH) na Internet pública. Quando a conexão está ativa, todo o tráfego passa por uma conexão privada segura. Útil quando o banco de dados de origem não pode ser acessado por redes privadas em Google Cloud, mas você não quer expor o servidor de banco de dados de origem diretamente à Internet pública.	O uso de um servidor intermediário (a máquina de túnel SSH com encaminhamento) para conectividade pode introduzir latência adicional. Você precisa configurar e manter o servidor host de encaminhamento SSH. O servidor precisa estar on-line durante toda a migração.
Interfaces do Private Service Connect	Estabelece conexões com o IP privado de origem usando um anexo de rede. Esse método não consome a cota de peering na VPC. O método de conectividade privada de origem mais fácil de configurar.	Requer a configuração de um anexo de rede e o ajuste das regras de firewall. Não é possível modificar o anexo de rede depois de estabelecer a conexão.
Conectividade privada com peering de nuvem privada virtual	A conexão é estabelecida com o endereço IP privado do banco de dados de origem em peerings de VPC. Se a VPC não tiver cota de peering suficiente, pode ser difícil usar esse método de conectividade. Na maioria dos casos, recomendamos o uso de conectividade privada com interfaces do Private Service Connect em vez disso.	Para origens fora da Google Cloud VPC, talvez seja necessário usar outros componentes de rede, como o Cloud VPN ou uma VM de proxy reverso. Você precisa de uma nuvem privada virtual com acesso a serviços particulares ativado para usar o peering de nuvem privada virtual. Essa configuração consome cota de peering na rede VPC.

Lista de permissões de IP para conectividade de banco de dados de origem

Ao usar o método de conectividade da lista de permissões de IP, o Database Migration Service tenta estabelecer uma conexão com um endereço IP disponível publicamente do servidor de banco de dados de origem.

Figura 1. Exemplo de rede de migração: conectividade de origem de IP público (clique para ampliar)

Requisitos para conectividade de lista de permissões de IP

Em um nível alto, para usar esse método de conectividade, você precisa garantir o seguinte:

• É necessário expor o endereço IP da origem à Internet pública (diretamente ou com um nome do host reconhecido publicamente por um servidor de nomes de domínio (DNS)).

• O Database Migration Service não oferece suporte à conectividade direta com bancos de dados usando o recurso Single Client Access Name (SCAN) em ambientes do Oracle Real Application Clusters (RAC). Para possíveis soluções para usar a conectividade de lista de permissões de IP público com esses ambientes, consulte Solução de problemas de erros do Oracle SCAN.

• É necessário permitir conexões de entrada de endereços IP públicos do Database Migration Service.

• Opcional: a conectividade da lista de permissões de IP usa conexões não criptografadas por padrão. Recomendamos que você use certificados TLS para proteger sua conexão. O Database Migration Service oferece suporte a diferentes tipos de TLS para que você possa escolher a melhor solução, dependendo do que o banco de dados de origem pode oferecer suporte. Para mais informações, consulte Usar certificados SSL/TLS para criptografar conexões de rede.

Observação:a criptografia SSL/TLS é compatível com o Oracle versão 12 e mais recentes.

Configurar a conectividade da lista de permissões de IP

A configuração da conectividade de IP público exige etapas diferentes, dependendo do tipo de banco de dados de origem. Para mais informações, consulte:

• Configurar a conectividade da lista de permissões de IP para origens auto-hospedadas

• Configurar a conectividade da lista de permissões de IP para origens no Amazon Web Services

Túnel SSH com encaminhamento para conectividade de banco de dados de origem

Esse método de conectividade é uma mistura de conectividade de rede pública e privada. A conexão em si é estabelecida por portas Secure Shell (SSH) para o endereço IP público do servidor host do túnel. Quando a conexão está ativa, todo o tráfego passa por um túnel seguro para o endereço IP privado do banco de dados de origem.

Figura 2. Exemplo de rede de migração: conectividade de origem por um túnel SSH. (clique para ampliar)

Requisitos para túneis SSH com encaminhamento

Para criar a conexão, é necessário expor as portas SSH à Internet pública no servidor de túnel. Quando a conectividade é estabelecida, todo o tráfego é encaminhado pela conexão de túnel privada.

É possível encerrar o túnel no mesmo servidor em que você hospeda o banco de dados de origem, mas recomendamos o uso de um servidor de túnel dedicado. Dessa forma, você não expõe o banco de dados de origem diretamente à Internet pública. O servidor de túnel pode ser qualquer host Unix ou Linux que possa ser acessado pela Internet usando SSH e que possa acessar o banco de dados de origem.

Para determinados cenários de conectividade, recomendamos o uso do método de rede conectividade privada com peering de nuvem privada virtual em vez de um túnel SSH com encaminhamento:

• Para origens auto-hospedadas que residem em dentro Google Cloud, o Database Migration Service pode acessar o IP privado do seu origem banco de dados com a configuração de conectividade privada. Não é necessário configurar um servidor SSH separado para estabelecer a conexão.

Configurar a conectividade do túnel SSH com encaminhamento

A configuração da conectividade por um túnel SSH com encaminhamento exige etapas diferentes, dependendo do tipo de banco de dados de origem. Para mais informações, consulte:

• Configurar a conectividade por um túnel SSH com encaminhamento para origens auto-hospedadas

• Configurar a conectividade da lista de permissões de IP para origens no Amazon Web Services

Conectividade privada com interfaces do Private Service Connect

As interfaces do Private Service Connect permitem que o Database Migration Service inicie conexões com o IP privado do banco de dados de origem sem consumir a cota de peering dos próprios endereços IP. Em vez disso, esse método de conectividade usa anexos de rede criados na VPC.

Figura 3. Exemplo de rede de migração: conectividade de origem de IP privado com interfaces do Private Service Connect e Cloud VPN para origens que residem em outras ofertas de nuvem. (clique para ampliar)

Requisitos para interfaces do Private Service Connect

Esse método de conectividade exige que você crie um anexo de rede na rede VPC em que o banco de dados de origem pode ser acessado. A sub-rede do anexo de rede precisa ter seis endereços IP utilizáveis (ou seja, é necessário usar o intervalo /29 para um total de oito endereços IP). É possível usar o mesmo anexo de rede para vários jobs de migração, desde que você tenha pelo menos um endereço IP disponível para o cluster do AlloyDB para PostgreSQL (o AlloyDB para PostgreSQL só oferece suporte a interfaces do Private Service Connect para o cluster principal).

Configurar a conectividade de IP privado com interfaces do Private Service Connect

Para usar a conectividade de IP privado com interfaces do Private Service Connect, o IP privado do banco de dados de origem precisa ser acessível na nuvem privada virtual em que você cria o anexo de rede. Para saber mais sobre como configurar esse método de conectividade de IP privado para diferentes origens de banco de dados, consulte:

• Para origens auto-hospedadas: consulte Configurar a conectividade de IP privado com interfaces do Private Service Connect para origens auto-hospedadas.

• Para o Amazon RDS para Oracle: você precisa do Cloud VPN ou do Cloud Interconnect para criar a conexão com o IP privado do banco de dados de origem. Consulte: Configurar a conectividade de IP privado com interfaces do Private Service Connect para origens do Amazon RDS.

Conectividade privada com peering de VPC

Importante: o Database Migration Service usa o peering para se conectar à VPC em que o banco de dados de origem pode ser acessado. Se a VPC não tiver cota de peering suficiente, pode ser difícil usar esse método de conectividade. Na maioria dos casos, recomendamos o uso de conectividade privada com interfaces do Private Service Connect em vez disso.

Esse método permite que você se conecte à origem pelos endereços IP privados na nuvem privada virtual (VPC). Não é necessário expor nenhuma interface à Internet pública para usar esse método, mas é necessário que o endereço IP ou o nome do host do banco de dados de origem possa ser acessado na Google Cloud VPC.

Dependendo do banco de dados de origem, esse método de conectividade pode exigir a configuração de outros componentes de rede (como o Cloud VPN ou uma VM de proxy reverso):

Figura 4. Exemplo de rede de migração: conectividade de origem de IP privado com peering de nuvem privada virtual e Cloud VPN para origens gerenciadas que residem fora Google Cloud. (clique para ampliar)

Requisitos para conectividade de IP privado

Esse método de conectividade é mais adequado para origens cujo endereço IP privado pode ser acessado na rede Google Cloud VPC. Para origens auto-hospedadas que residem em Google Cloud, é possível estabelecer conexões de peering direto com uma configuração de conectividade privada no Database Migration Service. Para outros tipos de origens, talvez sejam necessários outros componentes de rede como o Cloud VPN ou uma VM de proxy reverso (ou ambos).

A conectividade de IP privado exige o seguinte:

• É necessário ter uma rede de nuvem privada virtual com acesso a serviços particulares ativado.

  Essa é a rede que você faz peering com o Database Migration Service e o servidor de banco de dados de origem. É necessário ter espaço suficiente para alocar intervalos de IP para os dois componentes.

• Para o Amazon RDS para Oracle: é necessário ter um Cloud VPN ou Cloud Interconnect configurado na mesma rede VPC em que você pretende criar a configuração de conectividade privada para o Database Migration Service. Se não for possível criar a configuração de conectividade privada na mesma rede VPC, configure uma máquina virtual (VM) de proxy reverso no Compute Engine.

Observação: Para criar a conexão de peering de VPC para o Database Migration Service, use a configuração de conectividade privada dedicada que você cria e gerencia no Database Migration Service. Essa configuração funciona como uma conexão de peering de VPC, mas é mais fácil de configurar e gerenciar.

Configurar a conectividade de IP privado com peering de VPC

Para usar a conectividade de IP privado com peering de nuvem privada virtual, o IP privado do banco de dados de origem precisa ser acessível na nuvem privada virtual. Dependendo da arquitetura de rede, talvez seja necessário usar outros componentes, como uma VM de proxy reverso ou o Cloud VPN.

Para saber mais sobre como configurar a conectividade de IP privado para diferentes origens de banco de dados, consulte:

• Para origens auto-hospedadas: consulte Configurar a conectividade de IP privado com peering de nuvem privada virtual para origens auto-hospedadas sources.

• Para o Amazon RDS para Oracle: você precisa do Cloud VPN ou do Cloud Interconnect para criar a conexão com o IP privado do banco de dados de origem. Consulte: Configurar a conectividade de IP privado com peering de nuvem privada virtual para origens do Amazon RDS.

Observação: para cenários em que a origem pode ser acessada de uma VPC diferente daquela em que você pode criar uma configuração de conectividade privada para o Database Migration Service, use a conectividade privada com um proxy reverso.

Árvore de decisão de conectividade de rede de origem

Quando você estiver familiarizado com todos os métodos de conectividade de origem com suporte e seus requisitos, siga as perguntas no diagrama para ajudar a escolher o método de conectividade certo para seu cenário.

Figura 5. Árvore de decisão de conectividade de rede de origem.

A seguir

• Saiba mais sobre a conectividade do banco de dados de destino. Consulte Métodos de rede para conectividade de banco de dados de destino.

• Para conferir um tutorial completo de migração, consulte Guia de migração do Oracle para o AlloyDB para PostgreSQL.