Configurar a conectividade usando o túnel SSH reverso

É possível estabelecer conectividade do banco de dados de destino com o banco de dados de origem por um túnel SSH reverso seguro. Esse método requer uma VM de Bastion Host no projeto do Google Cloud , bem como uma máquina (por exemplo, um laptop na rede) que tenha conectividade com o banco de dados de origem.

Importante :se a origem estiver em uma VPN (na AWS, por exemplo, ou na sua própria VPN local), o perfil de conexão de origem precisará usar o endereço IP e a porta da VPN em vez do endereço IP e da porta de origem.

O Database Migration Service coleta as informações necessárias no momento da criação da migração e gera automaticamente o script para configurar tudo.

Figura 1. Exemplo de rede de migração: conectividade de origem por um túnel SSH. (clique para ampliar)

Configurar um túnel SSH reverso

As etapas a seguir são realizadas no fluxo do Database Migration Service para criar um job de migração e configurar um túnel SSH reverso entre o banco de dados de origem e a instância do Cloud SQL. Depois de fornecer alguns parâmetros, execute um conjunto de comandos gcloud em uma máquina que tenha conectividade com o banco de dados de origem e com o Google Cloud.

1. Selecione a instância de VM usada para estabelecer a conectividade entre o banco de dados de origem e a instância do Cloud SQL. Normalmente, é uma VM em execução na VPC em que o aplicativo que acessa o novo banco de dados do Cloud SQL é executado. A instância de VM serve como o bastion server do túnel SSH.

2. É possível usar uma instância de VM do Compute Engine para essa finalidade.

   1. Escolha a instância de VM do Compute Engine na lista.

   2. Forneça uma porta livre que o túnel SSH possa usar.

   Observação: para que o túnel SSH reverso funcione, defina o parâmetro GatewayPorts como yes no arquivo /etc/ssh/sshd_config no servidor de destino. Depois de atualizar o arquivo, reinicie o serviço sshd usando o comando sudo systemctl restart sshd.service. Se você não quiser mudar a configuração da VM atual, crie uma nova.

3. Como alternativa, é possível criar uma nova VM nesta etapa. Selecione CREATE A COMPUTE ENGINE VM INSTANCE, e o script gerado incluirá instruções para criá-lo.

   1. Dê um nome para a instância de VM.

   2. Selecione um tipo de máquina para a VM.

   3. Especificar uma sub-rede para a VM

   Observação: uma instância de VM do Compute Engine criada pelo script não é gerenciada pelo Database Migration Service. Se uma for criada, sua organização será cobrada pela instância com base nos preços padrão e será responsável pelo gerenciamento dela, incluindo a exclusão da instância quando ela não for mais necessária.

4. Clique em VER SCRIPT para conferir o script gerado.

   Por padrão, o script gera um endereço IP público para o servidor de VM do Compute Engine. Se você quiser que o endereço IP seja particular, faça o seguinte:

   • Altere o comando gcloud compute instances create adicionando a flag --no-address.
   • Altere o comando gcloud compute ssh adicionando a flag --internal-ip.

   Além disso, se você quiser criar uma VM de Bastion Host em uma sub-rede que esteja em uma VPC compartilhada, altere o comando export SUBNET_NAME do script gerado para apontar para /projects/project_name/regions/region_name/subnetworks/subnetwork_name.

   Exemplo:

   export SUBNET_NAME=projects/myproject/regions/myregion/subnetworks/mysubnetwork

   project_name é o nome do projeto em que a VPC compartilhada está localizada. Um projeto tem regiões e sub-redes. region_name e subnetwork_name são os nomes da região e da sub-rede associadas ao projeto de VPC.

   Observação:verifique se a seção de conexões de replicação do arquivo pg_hba.conf ou os grupos de segurança na nuvem (para AWS RDS, Aurora ou Azure) no banco de dados de origem estão atualizados para aceitar conexões de entrada na porta 5432 do endereço IP da VM do Bastion Host e do intervalo de endereços IP da VPC do Cloud SQL.

5. Execute o script em uma máquina que tenha acesso ao banco de dados de origem e à VM do Compute Engine. O script realiza as seguintes operações:

   • Configura a VM do Compute Engine como um bastion server de túnel SSH.

   • Estabelece uma conexão SSH segura que encaminha o tráfego da porta do Bastion Host para o servidor de banco de dados PostgreSQL de origem (porta 5432).

   • Se você estiver criando uma VM do Compute Engine, depois de executar o script, copie o IP do servidor da VM da saída do script e insira-o no campo de texto fornecido. A instância do Cloud SQL será atualizada conforme necessário quando você testar ou iniciar o job de migração.

6. Clique em CONFIGURAR E CONTINUAR.

7. Verifique o job de migração para confirmar se ele migrou corretamente os dados da instância de banco de dados de origem para a de destino do Cloud SQL.

8. Dependendo da arquitetura de rede, talvez seja necessário configurar outros gateways de VPN no sistema. Para mais informações, consulte as seguintes páginas Criar conexões VPN de alta disponibilidade entre o Google Cloud e a AWS ou Criar conexões VPN de alta disponibilidade entre o Google Cloud e o Azure na documentação do Cloud VPN.

9. Depois que o job de migração for configurado, a conectividade for verificada e as VPNs forem configuradas com sucesso, se necessário, será possível executar o job.