הגדרת קישוריות באמצעות רשימות היתרים של כתובות IP

‫MySQL   |  PostgreSQL   |  PostgreSQL ל-AlloyDB

סקירה כללית

קישוריות IP ציבורית מתאימה במיוחד כשמסד הנתונים של המקור נמצא מחוץ ל- Google Cloud ויש לו כתובת IPv4 ויציאת TCP שאפשר לגשת אליהן מבחוץ. אם מסד הנתונים של המקור מתארח ב-VPC אחר ב- Google Cloud, הדרך הקלה ביותר לקשר את מסד הנתונים של המקור למכונת Cloud SQL היא באמצעות שירות VPC Peering.

אם מסד הנתונים של המקור הוא חיצוני ל- Google Cloud, צריך להוסיף את כתובת ה-IP היוצאת (ואת יציאה 5432) של מסד הנתונים של היעד ככלל חומת אש נכנס ברשת המקור. באופן כללי (ההגדרות הספציפיות של הרשת עשויות להיות שונות), צריך לבצע את הפעולות הבאות:

1. פותחים את הכללים של חומת האש ברשת של המכונה שבה נמצא מסד הנתונים של המקור.

2. יוצרים כלל לתנועה נכנסת.

3. מגדירים את סוג הכלל ל-PostgreSQL.

4. מגדירים את הפרוטוקול ל-TCP.

5. מגדירים את טווח היציאות ל-5432.

6. מגדירים את כתובת ה-IP של המקור לכתובת ה-IP היוצאת של מסד הנתונים של היעד. לדוגמה: 12.20.36.126/32. (הסימון ‎ /32 בסימון CIDR מגביל את טווח הכתובות לכתובת אחת בלבד, הכתובת שצוינה. הוא מגדיר את מסכת רשת המשנה ל-255.255.255.255). אם מכונת Cloud SQL שיצרתם היא מכונה עם זמינות גבוהה, צריך לכלול את כתובות ה-IP היוצאות של המכונה הראשית ושל המכונה המשנית.

   אפשר להשתמש בדף SQL Instances ב Google Cloud Console כדי לאתר את כתובות ה-IP היוצאות.

   מעדכנים את קובץ pg_hba.conf או את קבוצות האבטחה של AWS RDS כדי לאשר חיבורים מכתובת ה-IP הזו.

7. שומרים את כלל חומת האש ויוצאים.

כדי לבדוק את הקישוריות, אפשר להוסיף כלל זמני נוסף של חומת אש לתנועה נכנסת באמצעות כתובת ה-IP של המחשב המקומי (או 0.0.0.0/0 כדי לאפשר גישה מכל מקום), ואז להריץ את פקודת ה-telnet הבאה: telnet [SOURCE_DB_IP_ADDRESS] 5432. החיבור אמור להצליח. מוחקים את כלל חומת האש הזמני.

מומלץ מאוד להשתמש ב-SSL/TLS גם במהלך ההגדרה של פרופיל חיבור למקור, כדי שהנתונים שנשלחים למקור ומתקבלים ממנו יהיו מאובטחים.

מידע נוסף על אישורי SSL/‏TLS ל-PostgreSQL