Configurar a conectividade usando o túnel SSH reverso

MySQL   |  PostgreSQL   |  PostgreSQL para AlloyDB

Visão geral

É possível estabelecer a conectividade do banco de dados de destino com o de origem por um túnel SSH reverso seguro. Esse método exige uma VM de Bastion Host no projeto Google Cloud , bem como uma máquina (por exemplo, um laptop na rede) que tenha conectividade com o banco de dados de origem.

Importante: se a origem estiver em uma VPN (por exemplo, na AWS ou na sua VPN local), o perfil de conexão de origem precisará usar o endereço IP e a porta da VPN em vez do endereço IP e da porta de origem.

O Database Migration Service para PostgreSQL coleta as informações necessárias no momento da criação da migração e gera automaticamente o script para configurar tudo.

Consulte o diagrama a seguir:

Configurar um túnel SSH reverso

As etapas a seguir são realizadas no fluxo do Database Migration Service para criar um job de migração e configurar um túnel SSH reverso entre o banco de dados de origem e a instância do Cloud SQL. Depois de fornecer alguns parâmetros, execute um conjunto de gcloud comandos em uma máquina que tenha conectividade com o banco de dados de origem e com Google Cloud.

1. Selecione a instância de VM usada para estabelecer a conectividade entre o banco de dados de origem e a instância do Cloud SQL. Normalmente, essa é uma VM em execução na VPC em que o aplicativo que acessa o novo banco de dados do Cloud SQL é executado. A instância de VM serve como o bastion server do túnel SSH.

2. É possível usar uma instância de VM do Compute Engine para essa finalidade.

   1. Escolha a instância de VM do Compute Engine na lista.

   2. Forneça uma porta livre que o túnel SSH possa usar.

   Observação: para que o túnel SSH reverso funcione, defina o parâmetro `GatewayPorts` como `yes` no arquivo /etc/ssh/sshd_config no servidor de destino. Depois de atualizar o arquivo, reinicie o serviço sshd usando o comando sudo systemctl restart sshd.service.
   
   Se você não quiser mudar a configuração da VM atual, crie uma nova.

3. Como alternativa, você pode criar uma nova VM nesta etapa. Selecione CREATE A COMPUTE ENGINE VM INSTANCE e o script gerado incluirá instruções para criá-la.

   1. Forneça um nome para a instância de VM.

   2. Selecione um tipo de máquina para a VM.

   3. Especifique uma sub-rede para a VM.

   Observação: uma instância de VM do Compute Engine criada pelo script não é gerenciada pelo Database Migration Service. Se uma for criada, sua organização será cobrada pela instância com base nos preços padrão e será responsável pelo gerenciamento dela, incluindo a exclusão da instância quando ela não for mais necessária.

4. Clique em VER SCRIPT para conferir o script gerado.

   Por padrão, o script gera um endereço IP público para o servidor de VM do Compute Engine. Se você quiser que o endereço IP seja particular, faça o seguinte:

   • Altere o comando gcloud compute instances create adicionando a flag --no-address.
   • Altere o comando gcloud compute ssh adicionando a flag --internal-ip.

   Além disso, se você quiser criar uma VM de Bastion Host em uma sub-rede que esteja em uma VPC compartilhada, altere o export SUBNET_NAME comando do script gerado para apontar para /projects/project_name/regions/region_name/subnetworks/subnetwork_name.

   Exemplo:

   export SUBNET_NAME=projects/myproject/regions/myregion/subnetworks/mysubnetwork

   project_name é o nome do projeto em que a VPC compartilhada está localizada. Um projeto tem regiões e sub-redes. region_name e subnetwork_name são os nomes da região e da sub-rede associadas ao projeto da VPC.

   Verifique se a seção de conexões de replicação do pg_hba.conf arquivo ou as definições dos grupos de segurança do AWS RDS no banco de dados de origem estão atualizadas para aceitar as conexões do intervalo de endereços IP da VPC do Cloud SQL.

5. Execute o script em uma máquina que tenha acesso ao banco de dados de origem e à VM do Compute Engine. O script realiza as seguintes operações:

   • Configura a VM do Compute Engine como um bastion server do túnel SSH.

   • Estabelece uma conexão SSH segura entre o banco de dados de origem e a VPC.

   • Se você estiver criando uma nova VM do Compute Engine, depois de executar o script, copie o IP do servidor da VM da saída do script e insira-o no campo de texto fornecido. A instância do Cloud SQL será atualizada conforme necessário quando você testar ou iniciar o job de migração mais tarde.

6. Clique em CONFIGURAR E CONTINUAR.

7. Verifique o job de migração para confirmar se ele migrou corretamente os dados da instância de banco de dados de origem para a instância de banco de dados de destino do Cloud SQL.

8. Se a origem estiver em uma VPN (por exemplo, na AWS ou na sua VPN local), acesse a seção sobre como conectar VPCs por VPNs para mais informações sobre como configurar a VPN de origem e a VPN do Google Cloud para que funcionem entre si.

9. Depois que o job de migração for configurado, a conectividade for verificada e as VPNs forem configuradas com êxito, se necessário, você poderá executar o job.