הגדרת קישוריות באמצעות מנהרת SSH הפוכה

‫MySQL   |  PostgreSQL   |  PostgreSQL ל-AlloyDB

סקירה כללית

אפשר ליצור קישוריות ממסד הנתונים של AlloyDB ליעד אל מסד הנתונים של המקור באמצעות מנהרת SSH הפוכה ומאובטחת. השיטה הזו דורשת מכונה וירטואלית של יעד מבוצר (bastion host) בפרויקט Google Cloud , וגם מכונה (לדוגמה, מחשב נייד ברשת) שיש לה קישוריות למסד הנתונים של המקור.

חשוב: אם המקור נמצא ב-VPN (לדוגמה, ב-AWS או ב-VPN מקומי משלכם), בפרופיל החיבור של המקור צריך להשתמש בכתובת ה-IP והיציאה של ה-VPN במקום בכתובת ה-IP והיציאה של המקור.

Database Migration Service מ-PostgreSQL ל-AlloyDB אוסף את המידע הנדרש בזמן יצירת ההעברה, ומפיק אוטומטית את הסקריפט להגדרת הכול.

ראו את הדיאגרמה הבאה:

הגדרת מנהרת SSH הפוכה

השלבים הבאים מבוצעים בתהליך של Database Migration Service (שירות העברת מסדי נתונים) כדי ליצור משימת העברה, ולהגדיר מנהרת SSH הפוכה בין מסד הנתונים של המקור לבין מופע AlloyDB. אחרי שמספקים כמה פרמטרים, מריצים קבוצה של gcloud פקודות במחשב שמחובר גם למסד הנתונים של המקור וגם ל- Google Cloud.

1. בוחרים את מכונת ה-VM שמשמשת ליצירת קישוריות בין מסד הנתונים של המקור לבין מכונת AlloyDB. בדרך כלל זו מכונה וירטואלית שפועלת ב-VPC שבו פועלת האפליקציה שמקבלת גישה למסד הנתונים החדש של AlloyDB. המכונה הווירטואלית משמשת כשרת מבוצר של מנהרת SSH.

2. אפשר להשתמש למטרה הזו במופע קיים של מכונה וירטואלית ב-Compute Engine.

   1. בוחרים את המכונה הווירטואלית (VM) של Compute Engine מהרשימה.

   2. מציינים יציאה פנויה שאפשר להשתמש בה למנהרת ה-SSH.

   הערה: כדי שמנהרת ה-SSH ההפוכה תפעל, צריך להגדיר את הפרמטר `GatewayPorts` כ-`yes` בקובץ /etc/ssh/sshd_config בשרת היעד. אחרי שמעדכנים את הקובץ, מפעילים מחדש את שירות ה-sshd באמצעות הפקודה sudo systemctl restart sshd.service.
   
   אם לא רוצים לשנות את ההגדרה של המכונה הווירטואלית הקיימת, צריך ליצור מכונה וירטואלית חדשה.

3. לחלופין, אפשר ליצור מכונה וירטואלית חדשה בשלב הזה. בוחרים באפשרות CREATE A COMPUTE ENGINE VM INSTANCE והתסריט שנוצר כולל הוראות ליצירת הסרטון.

   1. מזינים שם למכונת ה-VM.

   2. בוחרים סוג מכונה ל-VM.

   3. ציון רשת משנה למכונה הווירטואלית

   הערה: מכונה וירטואלית ב-Compute Engine שנוצרה על ידי הסקריפט לא מנוהלת על ידי Database Migration Service. אם נוצר אחד כזה, הארגון שלכם יחויב על המופע לפי התמחור הרגיל, והוא יהיה אחראי לניהול שלו, כולל מחיקת המופע כשכבר לא יהיה בו צורך.

4. כדי לראות את התסריט שנוצר, לוחצים על הצגת התסריט.

   כברירת מחדל, הסקריפט ייצור כתובת IP ציבורית לשרת של מכונת ה-VM ב-Compute Engine. אם רוצים שכתובת ה-IP תהיה פרטית, פועלים לפי השלבים הבאים:

   • משנים את הפקודה gcloud compute instances create על ידי הוספת הדגל --no-address.
   • משנים את הפקודה gcloud compute ssh על ידי הוספת הדגל --internal-ip.

   בנוסף, אם רוצים ליצור VM של יעד מבוצר (bastion host) ברשת משנה שנמצאת ב-VPC משותף, צריך לשנות את הפקודה export SUBNET_NAME מהסקריפט שנוצר כך שתצביע אל /projects/project_name/regions/region_name/subnetworks/subnetwork_name.

   לדוגמה:

   export SUBNET_NAME=projects/myproject/regions/myregion/subnetworks/mysubnetwork

   ‫project_name הוא שם הפרויקט שבו ממוקם ה-VPC המשותף. לפרויקט יש אזורים ורשתות משנה. ‫region_name ו-subnetwork_name הם השמות של האזור ושל רשת המשנה שמשויכים לפרויקט ה-VPC.

   מוודאים שהקטע של חיבורי השכפול בקובץ pg_hba.conf או בהגדרות של קבוצות האבטחה של AWS RDS במסד הנתונים של המקור עודכן כך שיתקבלו חיבורים מטווח כתובות ה-IP של ה-VPC של AlloyDB.

5. מריצים את הסקריפט במכונה שיש לה גישה גם למסד הנתונים של המקור וגם למכונה הוירטואלית של Compute Engine. הסקריפט מבצע את הפעולות הבאות:

   • הגדרת המכונה הווירטואלית ב-Compute Engine כשרת בסיס למנהרת SSH.

   • יוצר חיבור SSH מאובטח בין מסד הנתונים של המקור לבין ה-VPC.

   • אם אתם יוצרים מכונת VM חדשה ב-Compute Engine, אחרי שהסקריפט יפעל בהצלחה, צריך להעתיק את כתובת ה-IP של שרת ה-VM מהפלט של הסקריפט ולהזין אותה בשדה הטקסט שמופיע. המופע של AlloyDB יעודכן לפי הצורך כשבודקים או מתחילים את משימת ההעברה.

6. לוחצים על הגדרה והמשך.

7. מאמתים את עבודת ההעברה כדי לוודא שהנתונים הועברו בצורה נכונה ממופע מסד הנתונים של המקור למופע מסד הנתונים של היעד ב-AlloyDB.

8. אם המקור נמצא ב-VPN (לדוגמה, ב-AWS או ב-VPN מקומי משלכם), אפשר לעבור לקטע בנושא חיבור רשתות VPC באמצעות VPN לקבלת מידע נוסף על הגדרת ה-VPN של המקור ו-Google Cloud VPN כך שיפעלו יחד.

9. אחרי שמגדירים את עבודת ההעברה, מאמתים את הקישוריות ומגדירים את ה-VPN בהצלחה אם צריך, אפשר להריץ את העבודה.