הגדרת קישוריות באמצעות מנהרת SSH הפוכה

אפשר ליצור קישוריות ממסד הנתונים של היעד למסד הנתונים של המקור באמצעות מנהרת SSH הפוכה ומאובטחת. בשיטה הזו נדרשת מכונה וירטואלית של יעד מבוצר (bastion host) בפרויקט Google Cloud , וגם מכונה (לדוגמה, מחשב נייד ברשת) שמחוברת למסד הנתונים של המקור.

חשוב: אם המקור נמצא ב-VPN (לדוגמה, ב-AWS או ב-VPN מקומי משלכם), בפרופיל החיבור של המקור צריך להשתמש בכתובת ה-IP וביציאה של ה-VPN במקום בכתובת ה-IP וביציאה של המקור.

שירות Database Migration Service אוסף את המידע הנדרש בזמן יצירת המיגרציה, ונוצר אוטומטית את הסקריפט להגדרת הכול.

תרשים 1. דוגמה לרשת להעברה: קישוריות למקור דרך מנהרת SSH. (אפשר ללחוץ כדי להגדיל)

הגדרת מנהרת SSH הפוכה

השלבים הבאים מבוצעים בתהליך של Database Migration Service ליצירת משימת העברה, כדי להגדיר מנהרת SSH הפוכה בין מסד הנתונים של המקור לבין המכונה של Cloud SQL. אחרי שמספקים כמה פרמטרים, מריצים קבוצה של פקודות gcloud במכונה שמחוברת גם למסד הנתונים של המקור וגם ל- Google Cloud.

1. בוחרים את המכונה הווירטואלית שמשמשת ליצירת קישוריות בין מסד הנתונים של המקור לבין המכונה של Cloud SQL. בדרך כלל מדובר במכונה וירטואלית שפועלת ב-VPC שבו פועלת האפליקציה שניגשת למסד הנתונים החדש של Cloud SQL. מכונת ה-VM משמשת כשרת המבוצר של מנהרת ה-SSH.

2. לשם כך, אתם יכולים להשתמש במכונה וירטואלית קיימת של Compute Engine.

   1. בוחרים את המכונה הווירטואלית של Compute Engine מהרשימה.

   2. מציינים יציאה פנויה שמנהרת ה-SSH יכולה להשתמש בה.

   הערה: כדי שמנהרת ה-SSH ההפוכה תפעל, צריך להגדיר את הפרמטר GatewayPorts לערך yes בקובץ /etc/ssh/sshd_config בשרת היעד. אחרי שמעדכנים את הקובץ, מפעילים מחדש את שירות sshd באמצעות הפקודה sudo systemctl restart sshd.service. אם אתם לא רוצים לשנות את ההגדרות של המכונה הווירטואלית הקיימת, אתם יכולים ליצור מכונה וירטואלית חדשה.

3. לחלופין, אפשר ליצור מכונה וירטואלית חדשה בשלב הזה. בוחרים באפשרות CREATE A COMPUTE ENGINE VM INSTANCE והתסריט שנוצר כולל הוראות ליצירת הסצנה.

   1. נותנים שם למכונה הווירטואלית.

   2. בוחרים סוג מכונה למכונה הווירטואלית.

   3. ציון רשת משנה למכונה הווירטואלית

   הערה: מכונה וירטואלית של Compute Engine שנוצרה על ידי הסקריפט לא מנוהלת על ידי Database Migration Service. אם נוצר מכון, הארגון שלכם מחויב על המכונה לפי התמחור הרגיל, והוא אחראי לניהול שלה, כולל מחיקת המכונה כשכבר לא צריך אותה.

4. לוחצים על הצגת התסריט כדי לראות את התסריט שנוצר.

   כברירת מחדל, הסקריפט ייצור כתובת IP ציבורית לשרת של המכונה הווירטואלית ב-Compute Engine. אם רוצים שכתובת ה-IP תהיה פרטית, מבצעים את הפעולות הבאות:

   • משנים את הפקודה gcloud compute instances create על ידי הוספת הדגל --no-address.
   • משנים את הפקודה gcloud compute ssh על ידי הוספת הדגל --internal-ip.

   בנוסף, אם רוצים ליצור VM של יעד מבוצר ברשת משנה שנמצאת ב-VPC משותף, צריך לשנות את הפקודה export SUBNET_NAME מהסקריפט שנוצר כך שתפנה אל /projects/project_name/regions/region_name/subnetworks/subnetwork_name.

   לדוגמה:

   export SUBNET_NAME=projects/myproject/regions/myregion/subnetworks/mysubnetwork

   ‫project_name הוא שם הפרויקט שבו נמצא ה-VPC המשותף. בפרויקט יש אזורים ורשתות משנה. ‫region_name ו-subnetwork_name הם השמות של האזור ושל רשת המשנה שמשויכים לפרויקט ה-VPC.

   הערה: חשוב לוודא שהקטע של חיבורי הרפליקציה בקובץ pg_hba.conf או בקבוצות האבטחה בענן (ב-AWS RDS, ב-Aurora או ב-Azure) במסד הנתונים של המקור מעודכנים כך שיקבלו חיבורים נכנסים ביציאה 5432 מכתובת ה-IP של ה-VM של היעד המבוצר ומטווח כתובות ה-IP של ה-VPC ב-Cloud SQL.

5. מריצים את הסקריפט במכונה שיש לה גישה גם למסד הנתונים של המקור וגם למכונה הווירטואלית ב-Compute Engine. הסקריפט מבצע את הפעולות הבאות:

   • מגדיר את המכונה הווירטואלית של Compute Engine כשרת מבוצר של מנהרת SSH.

   • יוצר חיבור SSH מאובטח שמעביר את התנועה מהיציאה של היעד המבוצר לשרת של מסד הנתונים ב-PostgreSQL (יציאה 5432).

   • אם אתם יוצרים מכונה וירטואלית חדשה ב-Compute Engine, אחרי שהסקריפט יפעל בהצלחה, העתיקו את כתובת ה-IP של שרת המכונה הווירטואלית מהפלט של הסקריפט והזינו אותה בשדה הטקסט שמופיע. מכונת Cloud SQL תתעדכן לפי הצורך כשתבדקו או תתחילו את משימת ההעברה.

6. לוחצים על הגדרה והמשך.

7. מאמתים את משימת ההעברה כדי לוודא שהנתונים הועברו בצורה תקינה ממכונת מסד הנתונים במקור למכונת מסד הנתונים ב-Cloud SQL ביעד.

8. בהתאם לארכיטקטורת הרשת, יכול להיות שתצטרכו להגדיר שערי VPN נוספים במערכת. למידע נוסף, קראו את המאמרים יצירת חיבורי HA VPN בין Google Cloud ל-AWS ויצירת חיבורי HA VPN בין Google Cloud ל-Azure במסמכי התיעוד של Cloud VPN.

9. אחרי שמגדירים את משימת ההעברה, מאמתים את הקישוריות ומגדירים את ה-VPN (אם צריך), אפשר להריץ את המשימה.