Configurer la connectivité à l'aide d'un tunnel SSH inversé

Vous pouvez établir une connectivité entre la base de données de destination et la base de données source via un tunnel SSH inversé sécurisé. Cette méthode nécessite une VM d'hôte bastion dans le projet Google Cloud , ainsi qu'une machine (par exemple, un ordinateur portable sur le réseau) connectée à la base de données source.

Important : Si votre source se trouve dans un VPN (dans AWS, par exemple, ou votre propre VPN sur site), votre profil de connexion source doit utiliser l'adresse IP et le port du VPN au lieu de l'adresse IP et du port de la source.

Database Migration Service collecte les informations requises au moment de la création de la migration et génère automatiquement le script pour tout configurer.

Figure 1. Exemple de mise en réseau de migration : connectivité source via un tunnel SSH. (cliquez sur l'image pour l'agrandir)

Configurer un tunnel SSH inversé

Les étapes suivantes sont effectuées dans le flux Database Migration Service pour créer un job de migration, afin de configurer un tunnel SSH inversé entre la base de données source et l'instance Cloud SQL. Après avoir fourni certains paramètres, vous exécutez un ensemble de commandes gcloud sur une machine connectée à la fois à la base de données source et à Google Cloud.

1. Sélectionnez l'instance de VM utilisée pour établir la connectivité entre la base de données source et l'instance Cloud SQL. Il s'agit généralement d'une VM exécutée dans le VPC où s'exécute l'application qui accède à la nouvelle base de données Cloud SQL. L'instance de VM sert de serveur bastion pour le tunnel SSH.

2. Pour ce faire, vous pouvez utiliser une instance de VM Compute Engine existante.

   1. Sélectionnez l'instance de VM Compute Engine dans la liste.

   2. Indiquez un port libre que le tunnel SSH peut utiliser.

   Remarque : Pour que le tunnel SSH inversé fonctionne, définissez le paramètre GatewayPorts sur yes dans le fichier /etc/ssh/sshd_config sur le serveur cible. Après avoir mis à jour le fichier, redémarrez le service sshd à l'aide de la commande sudo systemctl restart sshd.service. Si vous ne souhaitez pas modifier la configuration de votre VM existante, créez-en une.

3. Vous pouvez également créer une VM à cette étape. Sélectionnez CREATE A COMPUTE ENGINE VM INSTANCE. Le script généré inclut des instructions pour le créer.

   1. Indiquez un nom pour l'instance de VM.

   2. Sélectionnez un type de machine pour la VM.

   3. Spécifier un sous-réseau pour la VM

   Remarque : Une instance de VM Compute Engine créée par le script n'est pas gérée par Database Migration Service. Si une instance est créée, votre organisation est facturée pour l'instance en fonction des tarifs standards et est responsable de sa gestion, y compris de la suppression de l'instance lorsqu'elle n'est plus nécessaire.

4. Cliquez sur AFFICHER LE SCRIPT pour afficher le script généré.

   Par défaut, le script génère une adresse IP publique pour le serveur de VM Compute Engine. Si vous souhaitez que l'adresse IP soit privée, procédez comme suit :

   • Modifiez la commande gcloud compute instances create en ajoutant l' option --no-address.
   • Modifiez la commande gcloud compute ssh en ajoutant l' option --internal-ip.

   De plus, si vous souhaitez créer une VM d'hôte bastion sur un sous-réseau qui se trouve sur un VPC partagé, modifiez la commande export SUBNET_NAME du script généré pour qu'elle pointe vers /projects/project_name/regions/region_name/subnetworks/subnetwork_name.

   Exemple :

   export SUBNET_NAME=projects/myproject/regions/myregion/subnetworks/mysubnetwork

   project_name est le nom du projet dans lequel se trouve le VPC partagé. Un projet comporte des régions et des sous-réseaux. region_name et subnetwork_name sont les noms de la région et du sous-réseau associés au projet VPC.

   Remarque : Assurez-vous que la section des connexions de réplication du fichier pg_hba.conf ou les groupes de sécurité cloud (pour AWS RDS, Aurora ou Azure) de la base de données source sont mis à jour pour accepter les connexions entrantes sur le port 5432 à partir de l'adresse IP de la VM de l'hôte bastion et de la plage d'adresses IP du VPC Cloud SQL.

5. Exécutez le script sur une machine ayant accès à la fois à la base de données source et à la VM Compute Engine. Le script effectue les opérations suivantes :

   • Configure la VM Compute Engine en tant que serveur bastion de tunnel SSH.

   • Établit une connexion SSH sécurisée qui transfère le trafic du port de l'hôte bastion vers le serveur de base de données PostgreSQL source (port 5432).

   • Si vous créez une VM Compute Engine, après avoir exécuté le script, copiez l'adresse IP du serveur de la VM à partir du résultat du script et saisissez-la dans le champ de texte fourni. L'instance Cloud SQL sera mise à jour si nécessaire lorsque vous testerez ou démarrerez le job de migration ultérieurement.

6. Cliquez sur CONFIGURER ET CONTINUER.

7. Vérifiez votre job de migration pour confirmer qu'il a correctement migré les données de votre instance de base de données source vers l'instance de base de données Cloud SQL de destination.

8. Selon l'architecture de votre réseau, vous devrez peut-être configurer des passerelles VPN supplémentaires dans votre système. Pour en savoir plus, consultez les pages suivantes de la documentation Cloud VPN : Créer des connexions VPN haute disponibilité entre Google Cloud et AWS ou Créer des connexions VPN haute disponibilité entre Google Cloud et Azure.

9. Une fois que votre job de migration est configuré, que la connectivité est vérifiée et que les VPN sont configurés correctement si nécessaire, vous pouvez exécuter le job.