Configurar a conectividade usando o túnel SSH reverso

MySQL   |  PostgreSQL   |  PostgreSQL para AlloyDB

Visão geral

É possível estabelecer a conectividade do banco de dados de destino com o de origem por um túnel SSH reverso seguro. Esse método exige uma VM de Bastion Host no projeto Google Cloud , além de uma máquina (por exemplo, um notebook na rede) com conectividade ao banco de dados de origem.

Importante: se a origem estiver em uma VPN (por exemplo, na AWS ou na sua VPN local), o perfil de conexão de origem precisará usar o endereço IP e a porta da VPN em vez do endereço IP e da porta da origem.

O Database Migration Service para PostgreSQL coleta as informações necessárias no momento da criação da migração e gera automaticamente o script para configurar tudo.

Confira o diagrama a seguir:

Configurar um túnel SSH reverso

As etapas a seguir são realizadas no fluxo do Database Migration Service para criar um job de migração e configurar um túnel SSH reverso entre o banco de dados de origem e a instância do Cloud SQL. Depois de fornecer alguns parâmetros, execute um conjunto de comandos gcloud em uma máquina com conectividade ao banco de dados de origem e ao Google Cloud.

1. Selecione a instância de VM usada para estabelecer a conectividade entre o banco de dados de origem e a instância do Cloud SQL. Normalmente, é uma VM em execução na VPC em que o aplicativo que acessa o novo banco de dados do Cloud SQL é executado. A instância de VM funciona como o bastion server do túnel SSH.

2. É possível usar uma instância de VM do Compute Engine para essa finalidade.

   1. Escolha a instância de VM do Compute Engine na lista.

   2. Forneça uma porta livre para o túnel SSH usar.

   Observação: para que o túnel SSH reverso funcione, defina o parâmetro `GatewayPorts` como `yes` no arquivo /etc/ssh/sshd_config do servidor de destino. Depois de atualizar o arquivo, reinicie o serviço sshd usando o comando sudo systemctl restart sshd.service.
   
   Se você não quiser mudar a configuração da VM atual, crie uma nova.

3. Como alternativa, você pode criar uma nova VM nesta etapa. Selecione CREATE A COMPUTE ENGINE VM INSTANCE e o script gerado inclui instruções para criar.

   1. Forneça um nome para a instância de VM.

   2. Selecione um tipo de máquina para a VM.

   3. Especificar uma sub-rede para a VM

   Observação: uma instância de VM do Compute Engine criada pelo script não é gerenciada pelo Database Migration Service. Se uma for criada, sua organização vai receber uma cobrança pela instância com base nos preços padrão e será responsável pelo gerenciamento dela, incluindo a exclusão quando não for mais necessária.

4. Clique em VER SCRIPT para conferir o script gerado.

   Por padrão, o script gera um endereço IP público para o servidor de VM do Compute Engine. Se você quiser que o endereço IP seja particular, faça o seguinte:

   • Altere o comando gcloud compute instances create adicionando a flag --no-address.
   • Altere o comando gcloud compute ssh adicionando a flag --internal-ip.

   Além disso, se você quiser criar uma VM de Bastion Host em uma sub-rede que esteja em uma VPC compartilhada, altere o comando export SUBNET_NAME do script gerado para apontar para /projects/project_name/regions/region_name/subnetworks/subnetwork_name.

   Exemplo:

   export SUBNET_NAME=projects/myproject/regions/myregion/subnetworks/mysubnetwork

   project_name é o nome do projeto em que a VPC compartilhada está localizada. Um projeto tem regiões e sub-redes. region_name e subnetwork_name são os nomes da região e da sub-rede associadas ao projeto da VPC.

   Verifique se a seção de conexões de replicação do arquivo pg_hba.conf ou as definições dos grupos de segurança do AWS RDS no banco de dados de origem estão atualizadas para aceitar conexões do intervalo de endereços IP da VPC do Cloud SQL.

5. Execute o script em uma máquina que tenha acesso ao banco de dados de origem e à VM do Compute Engine. O script executa as seguintes operações:

   • Configura a VM do Compute Engine como um bastion server de túnel SSH.

   • Estabelece uma conexão SSH segura entre o banco de dados de origem e a VPC.

   • Se você estiver criando uma VM do Compute Engine, depois de executar o script, copie o IP do servidor da VM do resultado do script e insira-o no campo de texto fornecido. A instância do Cloud SQL será atualizada conforme necessário quando você testar ou iniciar o job de migração mais tarde.

6. Clique em CONFIGURAR E CONTINUAR.

7. Verifique seu job de migração para confirmar se ele migrou corretamente os dados da instância de banco de dados de origem para a de destino do Cloud SQL.

8. Se a origem estiver em uma VPN (por exemplo, na AWS ou na sua VPN local), acesse a seção sobre conexão de VPCs por VPNs para mais informações sobre como configurar a VPN de origem e o Cloud VPN para que funcionem entre si.

9. Depois que o job de migração for configurado, a conectividade for verificada e as VPNs forem configuradas com sucesso, se necessário, você poderá executar o job.