使用反向 SSH 隧道配置连接

MySQL   |  PostgreSQL   |  PostgreSQL to AlloyDB

概览

您可以通过安全的反向 SSH 隧道建立从目标数据库到源数据库的连接。此方法需要在 项目 Google Cloud 中有一个堡垒主机虚拟机，以及一台可以连接到源数据库的机器（例如网络上的 笔记本电脑）。

**重要提示**： 如果您的源在 VPN 内（例如在 AWS 中或您自己的 本地 VPN 中），则源连接配置文件应 使用 VPN IP 地址和端口，而不是源 IP 地址和端口。

Database Migration Service for PostgreSQL 会在创建迁移时收集所需的信息，并自动生成用于设置所有内容的脚本。

请参见下图：

设置反向 SSH 隧道

以下步骤在 Database Migration Service 创建迁移作业的流程中执行，用于在源数据库和 Cloud SQL 实例之间设置反向 SSH 隧道。提供一些参数后，您需要在可以同时连接到源数据库和的机器上执行一组 gcloud 命令 Google Cloud。

1. 选择用于在源数据库和 Cloud SQL 实例之间建立连接的虚拟机实例。通常，这是在访问新 Cloud SQL 数据库的应用运行的 VPC 中运行的虚拟机。虚拟机实例充当 SSH 隧道堡垒服务器。

2. 您可以为此目的使用现有的 Compute Engine 虚拟机实例。

   1. 从列表中选择 Compute Engine 虚拟机实例。

   2. 提供 SSH 隧道可以使用的空闲端口。

   注意：如需让反向 SSH 隧道正常运行，请在目标 服务器上的 /etc/ssh/sshd_config 文件中将 `GatewayPorts` 参数设置为 `yes`。更新文件后，使用 sudo systemctl restart sshd.service 命令重启 sshd 服务。
   
   如果您不想更改现有虚拟机的配置， 请创建新的虚拟机。

3. 或者，您可以在此步骤中创建新的虚拟机。选择 CREATE A COMPUTE ENGINE VM INSTANCE，生成的脚本将包含创建虚拟机的说明。

   1. 为虚拟机实例提供名称。

   2. 为虚拟机选择机器类型。

   3. 为虚拟机指定子网

   注意：脚本创建的 Compute Engine 虚拟机实例不受 Database Migration Service 管理。如果创建了虚拟机实例，则您的组织需要按照标准价格为该实例付费，并负责管理该实例，包括在不再需要该实例时将其删除。

4. 点击查看脚本 以查看生成的脚本。

   默认情况下，该脚本会为 Compute Engine 虚拟机服务器生成公共 IP 地址。如果您希望 IP 地址为私有地址，请执行以下操作：

   • 通过添加 --no-address 标志来更改 gcloud compute instances create 命令。
   • 通过添加 --internal-ip 标志来更改 gcloud compute ssh 命令。

   此外，如果您想在共享 VPC 的子网上创建堡垒主机虚拟机，请更改生成的脚本中的 export SUBNET_NAME 命令，使其指向 /projects/project_name/regions/region_name/subnetworks/subnetwork_name。

   例如：

   export SUBNET_NAME=projects/myproject/regions/myregion/subnetworks/mysubnetwork

   project_name 是放置共享 VPC 的项目的名称。一个项目包含多个区域和子网。region_name 和 subnetwork_name 是与 VPC 项目关联的区域和子网的名称。

   确保更新源数据库上 pg_hba.conf 文件或 AWS RDS 安全组定义的复制连接部分，以接受来自 Cloud SQL VPC 的 IP 地址范围的连接。

5. 在可以同时访问源数据库和 Compute Engine 虚拟机的机器上运行该脚本 。该脚本会执行以下操作：

   • 将 Compute Engine 虚拟机配置为 SSH 隧道堡垒服务器。

   • 在源数据库和 VPC 之间建立安全的 SSH 连接。

   • 如果您要创建新的 Compute Engine 虚拟机，请在成功运行脚本后，从脚本输出中复制虚拟机服务器 IP，并将其输入到提供的文本字段中。当您稍后测试或启动迁移作业时，Cloud SQL 实例会根据需要进行更新。

6. 点击配置并继续 。

7. 验证迁移作业，以确认该作业已将数据从源数据库实例正确迁移到目标 Cloud SQL 数据库实例。

8. 如果您的源在 VPN 内（例如在 AWS 中或您自己的 本地 VPN 中），请前往 通过 VPN 连接 VPC 部分，详细了解如何配置 源 VPN 和 Google Cloud VPN，使其互相配合。

9. 配置迁移作业、验证连接并根据需要成功配置 VPN 后，您就可以运行该作业了。