הגדרת קישוריות באמצעות מנהרת SSH הפוכה

‫MySQL   |  PostgreSQL   |  PostgreSQL ל-AlloyDB

סקירה כללית

אפשר ליצור קישוריות ממסד הנתונים של היעד למסד הנתונים של המקור באמצעות מנהרת SSH הפוכה ומאובטחת. השיטה הזו דורשת מכונה וירטואלית של מארח בסיס בפרויקט Google Cloud , וגם מכונה (למשל, מחשב נייד ברשת) שיש לה קישוריות למסד הנתונים של המקור.

חשוב: אם המקור נמצא ב-VPN (לדוגמה, ב-AWS או ב-VPN מקומי משלכם), בפרופיל החיבור של המקור צריך להשתמש בכתובת ה-IP והיציאה של ה-VPN במקום בכתובת ה-IP והיציאה של המקור.

Database Migration Service ל-PostgreSQL אוסף את המידע הנדרש בזמן יצירת ההעברה, ומפיק אוטומטית את הסקריפט להגדרת הכול.

התרשים הבא ממחיש את התהליך:

הגדרת מנהרת SSH הפוכה

השלבים הבאים מתבצעים בתהליך של Database Migration Service ליצירת משימת העברה, כדי להגדיר מנהרת SSH הפוכה בין מסד הנתונים של המקור לבין מכונת Cloud SQL. אחרי שמספקים כמה פרמטרים, מריצים קבוצה של gcloud פקודות במחשב שמחובר גם למסד הנתונים של המקור וגם ל- Google Cloud.

1. בוחרים את המכונה הווירטואלית שמשמשת ליצירת קישוריות בין מסד הנתונים של המקור לבין מכונת Cloud SQL. בדרך כלל מדובר במכונה וירטואלית שפועלת ב-VPC שבו פועלת האפליקציה שמקבלת גישה למסד הנתונים החדש של Cloud SQL. המכונה הווירטואלית משמשת כשרת מבוצר של מנהרת SSH.

2. אפשר להשתמש למטרה הזו במופע קיים של מכונה וירטואלית ב-Compute Engine.

   1. בוחרים את המכונה הווירטואלית (VM) של Compute Engine מהרשימה.

   2. מציינים יציאה פנויה שאפשר להשתמש בה במנהרת ה-SSH.

   הערה: כדי שמנהרת ה-SSH ההפוכה תפעל, צריך להגדיר את הפרמטר `GatewayPorts` כ-`yes` בקובץ /etc/ssh/sshd_config בשרת היעד. אחרי שמעדכנים את הקובץ, מפעילים מחדש את שירות ה-sshd באמצעות הפקודה sudo systemctl restart sshd.service.
   
   אם לא רוצים לשנות את ההגדרה של המכונה הווירטואלית הקיימת, צריך ליצור מכונה וירטואלית חדשה.

3. לחלופין, אפשר ליצור מכונה וירטואלית חדשה בשלב הזה. בוחרים באפשרות CREATE A COMPUTE ENGINE VM INSTANCE והתסריט שנוצר כולל הוראות ליצירת הסרטון.

   1. מזינים שם למכונת ה-VM.

   2. בוחרים סוג מכונה למכונה הווירטואלית.

   3. ציון רשת משנה למכונה הווירטואלית

   הערה: מכונה וירטואלית ב-Compute Engine שנוצרה על ידי הסקריפט לא מנוהלת על ידי Database Migration Service.
   אם נוצר אחד כזה, הארגון שלכם יחויב על המופע לפי התמחור הרגיל, והוא יהיה אחראי לניהול שלו, כולל מחיקת המופע כשכבר לא יהיה בו צורך.

4. כדי לראות את התסריט שנוצר, לוחצים על הצגת התסריט.

   כברירת מחדל, הסקריפט ייצור כתובת IP ציבורית לשרת של מכונת ה-VM ב-Compute Engine. אם רוצים שכתובת ה-IP תהיה פרטית, פועלים לפי השלבים הבאים:

   • משנים את הפקודה gcloud compute instances create על ידי הוספת הדגל --no-address.
   • משנים את הפקודה gcloud compute ssh על ידי הוספת הדגל --internal-ip.

   בנוסף, אם רוצים ליצור מכונת VM של יעד מבוצר (bastion host) ברשת משנה שנמצאת ב-VPC משותף, צריך לשנות את הפקודה export SUBNET_NAME מהסקריפט שנוצר כך שתצביע אל /projects/project_name/regions/region_name/subnetworks/subnetwork_name.

   לדוגמה:

   export SUBNET_NAME=projects/myproject/regions/myregion/subnetworks/mysubnetwork

   ‫project_name הוא שם הפרויקט שבו ממוקם ה-VPC המשותף. לפרויקט יש אזורים ורשתות משנה. ‫region_name ו-subnetwork_name הם השמות של האזור ושל רשת המשנה שמשויכים לפרויקט ה-VPC.

   מוודאים שהקטע [replication connections] בקובץ pg_hba.conf או בהגדרות של קבוצות האבטחה של AWS RDS במסד הנתונים של המקור עודכן כך שיאפשר חיבורים מטווח כתובות ה-IP של ה-VPC של Cloud SQL.

5. מריצים את הסקריפט במכונה שיש לה גישה גם למסד הנתונים של המקור וגם למכונה הוירטואלית של Compute Engine. הסקריפט מבצע את הפעולות הבאות:

   • הגדרת המכונה הווירטואלית ב-Compute Engine כשרת באסטיון של מנהרת SSH.

   • יוצר חיבור SSH מאובטח בין מסד הנתונים של המקור לבין ה-VPC.

   • אם אתם יוצרים מכונה וירטואלית חדשה ב-Compute Engine, אחרי שהסקריפט יפעל בהצלחה, צריך להעתיק את כתובת ה-IP של שרת ה-VM מהפלט של הסקריפט ולהזין אותה בשדה הטקסט שמופיע. המופע של Cloud SQL יעודכן לפי הצורך כשבודקים או מתחילים את עבודת ההעברה מאוחר יותר.

6. לוחצים על הגדרה והמשך.

7. מאמתים את עבודת ההעברה כדי לוודא שהנתונים הועברו בצורה תקינה ממופע מסד הנתונים של המקור למופע מסד הנתונים של היעד ב-Cloud SQL.

8. אם המקור נמצא ב-VPN (לדוגמה, ב-AWS או ב-VPN מקומי משלכם), אפשר לעבור לקטע בנושא חיבור רשתות VPC באמצעות VPN לקבלת מידע נוסף על הגדרת ה-VPN של המקור ו-Google Cloud VPN כך שיפעלו יחד.

9. אחרי שמגדירים את עבודת ההעברה, מאמתים את הקישוריות ומגדירים את ה-VPN בהצלחה אם צריך, אפשר להריץ את העבודה.