VPN を使用して接続を構成する

MySQL   |  PostgreSQL   |  PostgreSQL から AlloyDB

概要

移行元データベースが VPN（AWS の VPN や独自のオンプレミス VPN など）の内部にある場合は、移行先側でも VPN を使用して移行元に接続する必要があります。

使用できる VPN プロダクトは多数あります。VPN の構成手順はプロダクトによって異なりますが、基本的な手順は同じです。このセクション では、AWS と Google Cloud VPN を使用した例を示します。

ソース データベース サーバーのファイアウォールは、Cloud SQL の宛先インスタンスが使用する VPC ネットワークのプライベート サービス接続に割り振られた内部 IP 範囲全体を許可するように構成する必要があります。

Console で内部 IP 範囲 を確認するには:

1. [VPC ネットワーク] ページをコンソールで Google Cloud 開きます。

2. 使用する VPC ネットワークを選択します。

3. [プライベート サービス アクセス] > [Allocated IP ranges for services] を選択します。

4. servicenetworking-googleapis-com によって作成された接続に関連付けられている内部 IP 範囲 を見つけます。

注: Virtual Private Cloud ネットワーキングを使用するには、 Service Networking API をプロジェクトで有効にする必要があります。 Google Cloud

例 1: 静的ルートを使用する Google Cloud Classic VPN を使用した AWS

詳細な手順については、次のリンクをご覧ください。

• AWS 側で、サイト間 VPN を設定します。
• 側で、静的ルーティングを使用してCloud VPNを作成します。 Google Cloud

全体的な手順は次のようになります。

1. コンソール > [VPC ネットワーク] > [外部 IP アドレス] で、Cloud VPN に使用する静的 IP アドレスを予約します。 Google Cloud
2. AWS VPC コンソールで、次の操作を行います。
   1. カスタマー ゲートウェイを作成します。
   2. 新しい仮想プライベート ゲートウェイを作成するか、既存のゲートウェイをデータベースに関連付けられた VPC に追加します。
   3. [**ルートテーブル**] で、[**ルート伝播**] を追加します。
   4. [**編集**] をクリックし、[**伝播**] チェックボックスをオンにして [**保存**] をクリックすると、VPC ネットワークの IP アドレス範囲が宛先範囲として追加されます。 Google Cloud
3. AWS VPC コンソールで、VPN を作成します。
   1. [**VPN 接続**] で、[**サイト間 VPN 接続**] を選択します。
   2. [VPN 接続を作成] を選択します。
   3. VPN 接続の名前を入力します。
   4. [**仮想プライベート ゲートウェイ**] で、この手順で 作成または選択したプライベート ゲートウェイを選択します。
   5. [**カスタマー ゲートウェイ**] で、この手順で作成したカスタマー ゲートウェイを選択します 。
   6. [**ルーティング オプション**] で [**静的**] を選択し、Cloud VPN 用に予約した静的 IP アドレスを CIDR として指定します（/32 を追加します）。
   7. 構成をダウンロードして設定を保存します。
      1. ファイルを Default として保存します。
      2. [IP Sec トンネル] セクション #1 と #2 を見つけます。
      3. 各トンネルの IKE バージョンと事前共有キー をメモします。
      4. 各トンネルの仮想プライベート ゲートウェイ の IP アドレスをメモします。
      5. 各トンネルの静的ルート構成オプション の IP アドレスをメモします。
4. で Google Cloud、静的ルーティングを使用して Classic VPN を作成します。
   1. Google Cloud [コンソール] > [ハイブリッド接続] > [VPN] に移動します。
   2. [VPN 接続を作成] をクリックします。
      1. VPC ネットワークとリージョンを選択します。
      2. Cloud VPN には、この手順で予約した静的 IP アドレスを使用します。
      3. この手順でダウンロードした AWS 構成の Pre-shared key とキータイプを使用します。
      4. [ルートベース] ルーティング オプションを選択して、2 つのトンネルを追加します。各トンネルの [リモート ネットワーク IP 範囲] フィールドには、この手順でダウンロードした AWS 構成ファイルの IP Sec Tunnel セクションの静的ルート構成オプション の IP アドレスを使用します。
      5. [作成] をクリックします。リモート ネットワーク IP 範囲

5. AWS RDS コンソールで、次の操作を行います。
   1. セキュリティ グループを選択します。
   2. Cloud VPN からのすべてのプロトコルとポートを許可する上り（内向き）ファイアウォール ルールを追加します。

VPN トンネルはまもなく通信を開始します。AWS 側では、VPC ダッシュボードでトンネルのステータスが UP になります。GCP 側では、 Cloud Logging コンソールの Cloud VPN gateway プロジェクトで VPN 間のトラフィックを確認します。

例 2: 動的ルートを使用する Google Cloud HA VPN を使用した AWS

HA VPN（動的ルート）を使用して AWS と VPC ピアリングを行うには、BGP ルートを Cloud SQL ピアリング VPC にエクスポートし、Cloud Router で Cloud SQL ピアリング VPC インポート ルートのカスタム アドバタイズ ルートを作成する必要があります。この時点で、Cloud Router は AWS ルートを Cloud SQL VPC にアドバタイズし、その逆も同様です。両側のファイアウォール ルールも、Cloud SQL ピアリング ルート CIDR と一致する必要があります。

AWS 側では、例 1 の最初の 3 つの手順に沿って操作できますが、 [ルーティング オプション] で [静的] ではなく [動的] を選択します。

1. コンソールで Cloud SQL VPC ピアリング構成を選択し、[**インポートされたルート**] の [**宛先 IP 範囲**] をメモします。詳細については、カスタムルートのインポートとエクスポートをご覧ください。
2. この VPC ピアリングを編集し、VPC ピアリング接続の詳細で Import Custom Routes と Export Custom Routes をオンにして、 [**保存**] をクリックします。

   これで、ピアリングは BGP ピアからのルートと同様に、VPC から動的ルートを受信します。これにより、VPN からピアリングされたネットワークへのトラフィックが可能になります。 ただし、Cloud Router はまだこのルートを他のネットワークにアドバタイズしていません。これを行うには、Cloud Router にカスタム アドバタイズ ルートを追加して、VPC がインポートされたルートを他のネットワークにアドバタイズするようにします。詳細については、カスタムルートのインポートとエクスポートをご覧ください。

3. DESTINATION_IP_RANGE カスタム IP 範囲を、Cloud Router 構成のアドバタイズ ルートにカスタム ルートとして追加します。BGP ピアリング ネットワークは、インポートされた Cloud SQL ネットワーク ルートである DESTINATION_IP_RANGE のアドバタイズを受信するようになりました。これらの VPN 接続ネットワーク上の Cloud SQL ピアリング VPC 宛てのトラフィックは、VPN トンネルを介してルーティングされるようになりました。
4. AWS ルートテーブルでルートの伝播を許可します。移行元データベースを含むサブネットの AWS ルートテーブルに、VPN 仮想プライベート ゲートウェイにルーティングする DESTINATION_IP_RANGE 範囲のエントリが含まれていることを確認します。
5. セキュリティ グループ ファイアウォールの上り（内向き）ルールを追加して、 DESTINATION_IP_RANGE TCP port 5432 のトラフィックを許可します。これで接続を確立できます。