Verbindung über umgekehrten SSH-Tunnel konfigurieren

MySQL   |  PostgreSQL   |  PostgreSQL zu AlloyDB

Übersicht

Sie können eine Verbindung von der Ziel-AlloyDB-Datenbank zu der Quelldatenbank über einen sicheren umgekehrten SSH-Tunnel herstellen. Für diese Methode sind eine Bastion-Host-VM im Google Cloud Projekt sowie ein Computer (z. B. ein Laptop im Netzwerk) mit Verbindung zur Quelldatenbank erforderlich.

Wichtig: Wenn sich Ihre Quelle in einem VPN befindet (z. B. in AWS oder Ihrem eigenen lokalen VPN), sollten Sie im Quellverbindungsprofil die VPN-IP-Adresse und den VPN-Port anstelle der Quell-IP-Adresse und des Quellports verwenden.

Der Database Migration Service für PostgreSQL zu AlloyDB erfasst die erforderlichen Informationen bei der Erstellung der Migration und generiert automatisch das Skript für die Einrichtung.

Siehe folgendes Diagramm:

Umgekehrten SSH-Tunnel einrichten

Die folgenden Schritte werden im Database Migration Service-Ablauf zum Erstellen eines Migrationsjobs ausgeführt, um einen umgekehrten SSH-Tunnel zwischen der Quelldatenbank und der AlloyDB-Instanz einzurichten. Nachdem Sie einige Parameter angegeben haben, führen Sie eine Reihe von gcloud Befehlen auf einem Computer aus, der sowohl mit der Quelldatenbank als auch mit verbunden ist Google Cloud.

1. Wählen Sie die VM-Instanz aus, die zum Herstellen einer Verbindung zwischen der Quelldatenbank und der AlloyDB-Instanz verwendet wird. In der Regel ist dies eine VM, die in der VPC ausgeführt wird, in der auch die Anwendung ausgeführt wird, die auf die neue AlloyDB-Datenbank zugreift. Die VM-Instanz dient als Bastion-Server für den SSH-Tunnel.

2. Sie können dafür eine vorhandene Compute Engine-VM-Instanz verwenden.

   1. Wählen Sie in der Liste die Compute Engine-VM-Instanz aus.

   2. Geben Sie einen kostenlosen Port an, den der SSH-Tunnel verwenden kann.

   Hinweis: Damit der umgekehrte SSH-Tunnel funktioniert, legen Sie den Parameter `GatewayPorts` in der Datei /etc/ssh/sshd_config auf dem Ziel server auf `yes` fest. Nachdem Sie die Datei aktualisiert haben, starten Sie den sshd-Dienst mit dem Befehl sudo systemctl restart sshd.service neu.
   
   Wenn Sie die Konfiguration Ihrer vorhandenen VM nicht ändern möchten, erstellen Sie eine neue VM.

3. Alternativ können Sie in diesem Schritt eine neue VM erstellen. Wählen Sie CREATE A COMPUTE ENGINE VM INSTANCE aus. Das generierte Skript enthält eine Anleitung zum Erstellen der VM.

   1. Geben Sie einen Namen für die VM-Instanz an.

   2. Wählen Sie einen Maschinentyp für die VM aus.

   3. Geben Sie ein Subnetz für die VM an.

   Hinweis: Eine Compute Engine-VM-Instanz, die mit dem Skript erstellt wurde, wird nicht vom Database Migration Service verwaltet. Wenn eine solche Instanz erstellt wird, wird Ihrer Organisation der Preis für die Instanz gemäß der Standardpreisgestaltung in Rechnung gestellt. Außerdem ist Ihre Organisation für die Verwaltung der Instanz verantwortlich, einschließlich des Löschens der Instanz, wenn sie nicht mehr benötigt wird.

4. Klicken Sie auf SKRIPT ANSEHEN , um das generierte Skript aufzurufen.

   Standardmäßig generiert das Skript eine öffentliche IP-Adresse für den Compute Engine-VM-Server. Wenn die IP-Adresse privat sein soll, gehen Sie so vor:

   • Ändern Sie den gcloud compute instances create Befehl und fügen Sie das --no-address Flag hinzu.
   • Ändern Sie den gcloud compute ssh Befehl und fügen Sie das --internal-ip Flag hinzu.

   Wenn Sie eine Bastion-Host-VM in einem Subnetz erstellen möchten, das sich in einer gemeinsam genutzten VPC befindet, ändern Sie den export SUBNET_NAME Befehl aus dem generierten Skript in /projects/project_name/regions/region_name/subnetworks/subnetwork_name.

   Beispiel:

   export SUBNET_NAME=projects/myproject/regions/myregion/subnetworks/mysubnetwork

   project_name ist der Name des Projekts, in dem sich die gemeinsam genutzte VPC befindet. Ein Projekt hat Regionen und Subnetze. „region_name“ und „subnetwork_name“ sind die Namen der Region und des Subnetzes, die mit dem VPC-Projekt verknüpft sind.

   Achten Sie darauf, dass der Abschnitt für Replikationsverbindungen der pg_hba.conf Datei oder die AWS RDS-Sicherheitsgruppendefinitionen in der Quelldatenbank aktualisiert wurden, sodass Verbindungen aus dem IP-Adressbereich der AlloyDB-VPC akzeptiert werden.

5. Führen Sie das Skript auf einem Computer aus, der Zugriff auf die Quelldatenbank und die Compute Engine-VM hat. Das Skript führt die folgenden Vorgänge aus:

   • Konfiguriert die Compute Engine-VM als Bastion-Server für den SSH-Tunnel.

   • Stellt eine sichere SSH-Verbindung zwischen der Quelldatenbank und der VPC her.

   • Wenn Sie eine neue Compute Engine-VM erstellen, kopieren Sie nach dem erfolgreichen Ausführen des Skripts die IP-Adresse des VM-Servers aus der Skriptausgabe und geben Sie sie in das bereitgestellte Textfeld ein. Die AlloyDB-Instanz wird bei Bedarf aktualisiert, wenn Sie den Migrationsjob später testen oder starten.

6. Klicken Sie auf KONFIGURIEREN UND WEITER.

7. Prüfen Sie den Migrationsjob, um zu bestätigen, dass Daten korrekt von der Quelldatenbankinstanz zur Ziel-AlloyDB-Datenbankinstanz migriert wurden.

8. Wenn sich Ihre Quelle in einem VPN befindet (z. B. in AWS oder Ihrem eigenen lokalen VPN), lesen Sie den Abschnitt VPCs über VPNs verbinden, um weitere Informationen zum Konfigurieren des Quell-VPN und des Google Cloud-VPN zu erhalten, damit sie miteinander kommunizieren können.

9. Nachdem Sie den Migrationsjob konfiguriert, die Verbindung überprüft und gegebenenfalls VPNs konfiguriert haben, können Sie den Job ausführen.