역방향 SSH 터널을 사용하여 연결 구성

보안 역방향 SSH 터널을 통해 대상 데이터베이스에서 소스 데이터베이스로의 연결을 설정할 수 있습니다. 이 방법을 사용하려면 Google Cloud 프로젝트의 배스천 호스트 VM과 소스 데이터베이스에 연결된 머신 (예: 네트워크의 노트북)이 필요합니다.

중요: 소스가 VPN 내에 있는 경우 (예: AWS 또는 자체 온프레미스 VPN) 소스 연결 프로필은 소스 IP 주소 및 포트 대신 VPN IP 주소 및 포트를 사용해야 합니다.

Database Migration Service는 마이그레이션 생성 시 필요한 정보를 수집하고 모든 설정을 위한 스크립트를 자동으로 생성합니다.

그림 1. 마이그레이션 네트워킹 예시: SSH 터널을 통한 소스 연결 (확대하려면 클릭)

역방향 SSH 터널 설정

다음 단계는 마이그레이션 작업을 만드는 Database Migration Service 흐름에서 수행되어 소스 데이터베이스와 Cloud SQL 인스턴스 간에 역방향 SSH 터널을 설정합니다. 몇 가지 매개변수를 제공한 후 소스 데이터베이스와 Google Cloud모두에 연결된 머신에서 gcloud 명령어 집합을 실행합니다.

1. 소스 데이터베이스와 Cloud SQL 인스턴스 간의 연결을 설정하는 데 사용되는 VM 인스턴스를 선택합니다. 일반적으로 새 Cloud SQL 데이터베이스에 액세스하는 애플리케이션이 실행되는 VPC에서 실행되는 VM입니다. VM 인스턴스는 SSH 터널 배스천 서버 역할을 합니다.

2. 이 목적으로 기존 Compute Engine VM 인스턴스를 사용할 수 있습니다.

   1. 목록에서 Compute Engine VM 인스턴스를 선택합니다.

   2. SSH 터널에서 사용할 수 있는 무료 포트를 제공합니다.

   참고: 역방향 SSH 터널이 작동하려면 대상 서버의 /etc/ssh/sshd_config 파일에서 GatewayPorts 파라미터를 yes로 설정합니다. 파일을 업데이트한 후 sudo systemctl restart sshd.service 명령어를 사용하여 sshd 서비스를 다시 시작합니다. 기존 VM의 구성을 변경하지 않으려면 새 VM을 만듭니다.

3. 또는 이 단계에서 새 VM을 만들 수 있습니다. CREATE A COMPUTE ENGINE VM INSTANCE를 선택하면 생성된 스크립트에 이를 만드는 안내가 포함됩니다.

   1. VM 인스턴스의 이름을 입력합니다.

   2. VM의 머신 유형을 선택합니다.

   3. VM의 서브넷 지정

   참고: 스크립트로 만든 Compute Engine VM 인스턴스는 Database Migration Service에서 관리되지 않습니다. 인스턴스가 생성되면 조직은 표준 가격에 따라 인스턴스 요금을 청구받고, 더 이상 필요하지 않은 경우 인스턴스를 삭제하는 등 인스턴스 관리에 대한 책임을 집니다.

4. 스크립트 보기를 클릭하여 생성된 스크립트를 확인합니다.

   기본적으로 스크립트는 Compute Engine VM 서버의 공개 IP 주소를 생성합니다. IP 주소를 비공개로 설정하려면 다음을 수행합니다.

   • --no-address 플래그를 추가하여 gcloud compute instances create 명령어를 변경합니다.
   • --internal-ip 플래그를 추가하여 gcloud compute ssh 명령어를 변경합니다.

   또한 공유 VPC에 있는 서브넷에 배스천 호스트 VM을 만들려면 생성된 스크립트의 export SUBNET_NAME 명령어를 /projects/project_name/regions/region_name/subnetworks/subnetwork_name를 가리키도록 변경합니다.

   예를 들면 다음과 같습니다.

   export SUBNET_NAME=projects/myproject/regions/myregion/subnetworks/mysubnetwork

   project_name는 공유 VPC가 배치된 프로젝트의 이름입니다. 프로젝트에는 리전과 서브네트워크가 있습니다. region_name 및 subnetwork_name은 VPC 프로젝트와 연결된 리전 및 서브네트워크의 이름입니다.

   참고: pg_hba.conf 파일의 복제 연결 섹션이나 소스 데이터베이스의 클라우드 보안 그룹 (AWS RDS, Aurora 또는 Azure)이 배스천 호스트 VM IP 주소 및 Cloud SQL VPC IP 주소 범위에서 포트 5432의 수신 연결을 허용하도록 업데이트되었는지 확인합니다.

5. 소스 데이터베이스와 Compute Engine VM 모두에 액세스할 수 있는 머신에서 스크립트를 실행합니다. 스크립트는 다음 작업을 수행합니다.

   • Compute Engine VM을 SSH 터널 배스천 서버로 구성합니다.

   • 배스천 호스트 포트에서 소스 PostgreSQL 데이터베이스 서버 (포트 5432)로 트래픽을 전달하는 안전한 SSH 연결을 설정합니다.

   • 새 Compute Engine VM을 만드는 경우 스크립트를 성공적으로 실행한 후 스크립트 출력에서 VM 서버 IP를 복사하여 제공된 텍스트 필드에 입력합니다. Cloud SQL 인스턴스는 나중에 마이그레이션 작업을 테스트하거나 시작할 때 필요에 따라 업데이트됩니다.

6. 구성 및 계속을 클릭합니다.

7. 마이그레이션 작업을 확인하여 소스 데이터베이스 인스턴스에서 대상 Cloud SQL 데이터베이스 인스턴스로 데이터가 올바르게 마이그레이션되었는지 확인합니다.

8. 네트워크 아키텍처에 따라 시스템에 VPN 게이트웨이를 추가로 설정해야 할 수 있습니다. 자세한 내용은 Cloud VPN 문서의 Google Cloud와 AWS 간에 HA VPN 연결 만들기 또는 Google Cloud와 Azure 간에 HA VPN 연결 만들기 페이지를 참조하세요.

9. 마이그레이션 작업이 구성되고 연결이 확인되고 필요한 경우 VPN이 성공적으로 구성되면 작업을 실행할 수 있습니다.