Configura la connettività utilizzando il tunnel SSH inverso

Puoi stabilire la connettività dal database di destinazione al database di origine tramite un tunnel SSH inverso sicuro. Questo metodo richiede una VM bastion host nel progetto Google Cloud e una macchina (ad esempio un laptop sulla rete) con connettività al database di origine.

Importante: se l'origine si trova all'interno di una VPN (ad esempio in AWS o nella tua VPN on-premise), il profilo di connessione di origine deve utilizzare l'indirizzo IP e la porta della VPN anziché l'indirizzo IP e la porta di origine.

Database Migration Service raccoglie le informazioni richieste al momento della creazione della migrazione e genera automaticamente lo script per configurare tutto.

Figura 1. Esempio di networking di migrazione: connettività di origine su un tunnel SSH. (fai clic per ingrandire)

Configura un tunnel SSH inverso

I seguenti passaggi vengono eseguiti nel flusso di Database Migration Service per la creazione di un job di migrazione, al fine di configurare un tunnel SSH inverso tra il database di origine e l'istanza Cloud SQL. Dopo aver fornito alcuni parametri, esegui un insieme di comandi gcloud su una macchina con connettività sia al database di origine sia a Google Cloud.

1. Seleziona l'istanza VM utilizzata per stabilire la connettività tra il database di origine e l'istanza Cloud SQL. In genere si tratta di una VM in esecuzione nel VPC in cui viene eseguita l'applicazione che accede al nuovo database Cloud SQL. L'istanza VM funge da server bastion del tunnel SSH.

2. A questo scopo, puoi utilizzare un'istanza VM di Compute Engine esistente.

   1. Scegli l'istanza VM di Compute Engine dall'elenco.

   2. Fornisci una porta libera che il tunnel SSH può utilizzare.

   Nota: affinché il tunnel SSH inverso funzioni, imposta il parametro GatewayPorts su yes nel file /etc/ssh/sshd_config sul server di destinazione. Dopo aver aggiornato il file, riavvia il servizio sshd utilizzando il comando sudo systemctl restart sshd.service. Se non vuoi modificare la configurazione della VM esistente, crea una nuova VM.

3. In alternativa, puoi creare una nuova VM in questo passaggio. Seleziona CREATE A COMPUTE ENGINE VM INSTANCE e lo script generato includerà le istruzioni per crearlo.

   1. Specifica un nome per l'istanza VM.

   2. Seleziona un tipo di macchina per la VM.

   3. Specifica una subnet per la VM

   Nota: un'istanza VM di Compute Engine creata dallo script non è gestita da Database Migration Service. Se ne viene creata una, alla tua organizzazione viene addebitato il costo dell'istanza in base ai prezzi standard ed è responsabile della sua gestione, inclusa l'eliminazione dell'istanza quando non è più necessaria.

4. Fai clic su VISUALIZZA SCRIPT per visualizzare lo script generato.

   Per impostazione predefinita, lo script genera un indirizzo IP pubblico per il server VM di Compute Engine. Se vuoi che l'indirizzo IP sia privato, segui questi passaggi:

   • Modifica il comando gcloud compute instances create aggiungendo il flag --no-address.
   • Modifica il comando gcloud compute ssh aggiungendo il flag --internal-ip.

   Inoltre, se vuoi creare una VM bastion host su una subnet che si trova su un VPC condiviso, modifica il comando export SUBNET_NAME dello script generato in modo che punti a /projects/project_name/regions/region_name/subnetworks/subnetwork_name.

   Ad esempio:

   export SUBNET_NAME=projects/myproject/regions/myregion/subnetworks/mysubnetwork

   project_name è il nome del progetto in cui si trova il VPC condiviso. Un progetto ha regioni e subnet. region_name e subnetwork_name sono i nomi della regione e della subnet associate al progetto VPC.

   Nota: assicurati che la sezione delle connessioni di replica del file pg_hba.conf o dei gruppi di sicurezza cloud (per AWS RDS, Aurora o Azure) nel database di origine sia aggiornata in modo da accettare le connessioni in entrata sulla porta 5432 dall'indirizzo IP della VM del bastion host e dall'intervallo di indirizzi IP del VPC di Cloud SQL.

5. Esegui lo script su una macchina che ha accesso sia al database di origine sia alla VM di Compute Engine. Lo script esegue le seguenti operazioni:

   • Configura la VM di Compute Engine come server bastion del tunnel SSH.

   • Stabilisce una connessione SSH sicura che inoltra il traffico dalla porta del bastion host al server di database PostgreSQL di origine (porta 5432).

   • Se stai creando una nuova VM di Compute Engine, dopo aver eseguito correttamente lo script, copia l'IP del server VM dall'output dello script e inseriscilo nel campo di testo fornito. L'istanza Cloud SQL verrà aggiornata in base alle esigenze quando testerai o avvierai il job di migrazione in un secondo momento.

6. Fai clic su CONFIGURA E CONTINUA.

7. Verifica il job di migrazione per confermare che i dati siano stati migrati correttamente dall'istanza del database di origine all'istanza del database Cloud SQL di destinazione.

8. A seconda dell'architettura di rete, potrebbe essere necessario configurare gateway VPN aggiuntivi nel sistema. Per saperne di più, consulta le seguenti pagine Crea connessioni VPN ad alta affidabilità tra Google Cloud e AWS o Crea connessioni VPN ad alta affidabilità tra Google Cloud e Azure nella documentazione di Cloud VPN.

9. Dopo aver configurato il job di migrazione, verificato la connettività e configurato correttamente le VPN, se necessario, puoi eseguire il job.