Verbindung über umgekehrten SSH-Tunnel konfigurieren

Sie können eine Verbindung von der Zieldatenbank zur Quelldatenbank über einen sicheren Reverse-SSH-Tunnel herstellen. Für diese Methode ist eine Bastion Host-VM im Projekt Google Cloud sowie ein Computer (z. B. ein Laptop im Netzwerk) erforderlich, der mit der Quelldatenbank verbunden ist.

Wichtig: Wenn sich Ihre Quelle in einem VPN befindet (z. B. in AWS oder Ihrem eigenen lokalen VPN), sollte Ihr Quellverbindungsprofil die VPN-IP-Adresse und den VPN-Port anstelle der Quell-IP-Adresse und des Quell-Ports verwenden.

Der Database Migration Service erfasst die erforderlichen Informationen beim Erstellen der Migration und generiert automatisch das Skript für die Einrichtung.

Abbildung 1. Beispiel für ein Migrationsnetzwerk: Quellverbindung über einen SSH-Tunnel. (Zum Vergrößern klicken)

Reverse-SSH-Tunnel einrichten

Die folgenden Schritte werden im Database Migration Service-Ablauf zum Erstellen eines Migrationsjobs ausgeführt, um einen umgekehrten SSH-Tunnel zwischen der Quelldatenbank und der Cloud SQL-Instanz einzurichten. Nachdem Sie einige Parameter angegeben haben, führen Sie eine Reihe von gcloud-Befehlen auf einem Computer aus, der sowohl mit der Quelldatenbank als auch mit Google Cloudverbunden ist.

1. Wählen Sie die VM-Instanz aus, die zum Herstellen der Verbindung zwischen der Quelldatenbank und der Cloud SQL-Instanz verwendet wird. In der Regel ist dies eine VM, die in der VPC ausgeführt wird, in der die Anwendung ausgeführt wird, die auf die neue Cloud SQL-Datenbank zugreift. Die VM-Instanz dient als SSH-Tunnel-Bastionserver.

2. Sie können dafür eine vorhandene Compute Engine-VM-Instanz verwenden.

   1. Wählen Sie die Compute Engine-VM-Instanz aus der Liste aus.

   2. Geben Sie einen verfügbaren Port an, den der SSH-Tunnel verwenden kann.

   Hinweis: Damit der umgekehrte SSH-Tunnel funktioniert, muss der Parameter GatewayPorts in der Datei /etc/ssh/sshd_config auf dem Zielserver auf yes gesetzt werden. Nachdem Sie die Datei aktualisiert haben, starten Sie den sshd-Dienst mit dem Befehl sudo systemctl restart sshd.service neu. Wenn Sie die Konfiguration Ihrer vorhandenen VM nicht ändern möchten, erstellen Sie eine neue VM.

3. Alternativ können Sie in diesem Schritt eine neue VM erstellen. Wählen Sie CREATE A COMPUTE ENGINE VM INSTANCE aus. Das generierte Skript enthält dann eine Anleitung zum Erstellen.

   1. Geben Sie einen Namen für die VM-Instanz an.

   2. Wählen Sie einen Maschinentyp für die VM aus.

   3. Subnetz für die VM angeben

   Hinweis: Eine vom Skript erstellte Compute Engine-VM-Instanz wird nicht von Database Migration Service verwaltet. Wenn eine Instanz erstellt wird, werden Ihrer Organisation die Kosten für die Instanz gemäß den Standardpreisen in Rechnung gestellt. Ihre Organisation ist für die Verwaltung der Instanz verantwortlich, einschließlich des Löschens der Instanz, wenn sie nicht mehr benötigt wird.

4. Klicken Sie auf SKRIPT ANSEHEN, um das generierte Skript aufzurufen.

   Standardmäßig generiert das Script eine öffentliche IP-Adresse für den Compute Engine-VM-Server. Wenn die IP-Adresse privat sein soll, gehen Sie so vor:

   • Ändern Sie den Befehl gcloud compute instances create, indem Sie das Flag --no-address hinzufügen.
   • Ändern Sie den Befehl gcloud compute ssh, indem Sie das Flag --internal-ip hinzufügen.

   Wenn Sie eine Bastion Host-VM in einem Subnetz erstellen möchten, das sich in einer gemeinsam genutzten VPC befindet, ändern Sie den Befehl export SUBNET_NAME aus dem generierten Script so, dass er auf /projects/project_name/regions/region_name/subnetworks/subnetwork_name verweist.

   Beispiel:

   export SUBNET_NAME=projects/myproject/regions/myregion/subnetworks/mysubnetwork

   project_name ist der Name des Projekts, in dem sich die gemeinsam genutzte VPC befindet. Ein Projekt hat Regionen und Subnetzwerke. region_name und subnetwork_name sind die Namen der Region und des Subnetzwerks, die dem VPC-Projekt zugeordnet sind.

   Hinweis: Achten Sie darauf, dass der Abschnitt für Replikationsverbindungen der Datei pg_hba.conf oder die Cloud-Sicherheitsgruppen (für AWS RDS, Aurora oder Azure) in der Quelldatenbank aktualisiert wurden, sodass eingehende Verbindungen auf Port 5432 von der IP-Adresse der Bastion Host-VM und dem IP-Adressbereich der Cloud SQL-VPC akzeptiert werden.

5. Führen Sie das Skript auf einem Computer aus, der sowohl auf die Quelldatenbank als auch auf die Compute Engine-VM zugreifen kann. Das Skript führt die folgenden Vorgänge aus:

   • Konfiguriert die Compute Engine-VM als SSH-Tunnel-Bastionserver.

   • Stellt eine sichere SSH-Verbindung her, die Traffic vom Bastion Host-Port an den PostgreSQL-Quelldatenbankserver (Port 5432) weiterleitet.

   • Wenn Sie eine neue Compute Engine-VM erstellen, kopieren Sie nach erfolgreicher Ausführung des Scripts die VM-Server-IP aus der Scriptausgabe und geben Sie sie in das dafür vorgesehene Textfeld ein. Die Cloud SQL-Instanz wird nach Bedarf aktualisiert, wenn Sie den Migrationsjob später testen oder starten.

6. Klicken Sie auf KONFIGURIEREN UND FORTFAHREN.

7. Prüfen Sie den Migrationsjob, um zu bestätigen, dass die Daten korrekt von der Quelldatenbankinstanz zur Cloud SQL-Zieldatenbankinstanz migriert wurden.

8. Je nach Netzwerkarchitektur müssen Sie möglicherweise zusätzliche VPN-Gateways in Ihrem System einrichten. Weitere Informationen finden Sie in der Cloud VPN-Dokumentation auf den folgenden Seiten: HA-VPN-Verbindungen zwischen Google Cloud und AWS erstellen oder HA-VPN-Verbindungen zwischen Google Cloud und Azure erstellen.

9. Nachdem der Migrationsjob konfiguriert, die Verbindung geprüft und gegebenenfalls VPNs erfolgreich konfiguriert wurden, können Sie den Job ausführen.