使用反向 SSH 通道設定連線

MySQL   |  PostgreSQL   |  PostgreSQL 至 AlloyDB

總覽

您可以透過安全反向 SSH 通道，建立目的地 AlloyDB 資料庫與來源資料庫的連線。這個方法需要在 Google Cloud 專案中建立堡壘主機 VM，以及連線至來源資料庫的機器 (例如網路上的筆電)。

重要事項： 如果來源在 VPN 內 (例如在 AWS 或您自己的地端部署 VPN 內)，來源連線設定檔應使用 VPN IP 位址和通訊埠，而非來源 IP 位址和通訊埠。

PostgreSQL 到 AlloyDB 的資料庫遷移服務會在建立遷移作業時收集必要資訊，並自動產生設定所有項目的指令碼。

請參閱下圖：

設定反向 SSH 通道

在「建立遷移工作」的資料庫遷移服務流程中，執行下列步驟，在來源資料庫和 AlloyDB 執行個體之間設定反向 SSH 通道。提供一些參數後，您會在可連線至來源資料庫和 Google Cloud的機器上執行一組 gcloud 指令。

1. 選取用於建立來源資料庫與 AlloyDB 執行個體之間連線的 VM 執行個體。通常這是指在虛擬私有雲中執行的 VM，應用程式會透過這個 VM 存取新的 AlloyDB 資料庫。VM 執行個體會做為 SSH 通道堡壘伺服器。

2. 您可以為此使用現有的 Compute Engine VM 執行個體。

   1. 從清單中選擇 Compute Engine VM 執行個體。

   2. 提供 SSH 通道可使用的可用通訊埠。

   注意：如要讓反向 SSH 通道正常運作，請在目標伺服器的 /etc/ssh/sshd_config 檔案中，將 `GatewayPorts` 參數設為 `yes`。更新檔案後，請使用 sudo systemctl restart sshd.service 指令重新啟動 sshd 服務。
   
   如不想變更現有 VM 的設定，請建立新的 VM。

3. 或者，您也可以在這個步驟建立新的 VM。選取 CREATE A COMPUTE ENGINE VM INSTANCE，系統就會產生包含建立指令的指令碼。

   1. 提供 VM 執行個體的名稱。

   2. 選取 VM 的機型。

   3. 指定 VM 的子網路

   注意：指令碼建立的 Compute Engine VM 執行個體並非由資料庫遷移服務管理。如果建立執行個體，貴機構就必須根據標準價格支付費用，並負責管理執行個體，包括在不需要時刪除執行個體。

4. 按一下「查看腳本」，即可查看生成的腳本。

   根據預設，指令碼會為 Compute Engine VM 伺服器產生公開 IP 位址。如要將 IP 位址設為私人，請按照下列步驟操作：

   • 在 gcloud compute instances create 指令中加入 --no-address 標記。
   • 在 gcloud compute ssh 指令中加入 --internal-ip 標記。

   此外，如要在共用 VPC 的子網路上建立堡壘主機 VM，請修改產生指令碼中的 export SUBNET_NAME 指令，將其指向 /projects/project_name/regions/region_name/subnetworks/subnetwork_name。

   例如：

   export SUBNET_NAME=projects/myproject/regions/myregion/subnetworks/mysubnetwork

   project_name 是共用 VPC 所在的專案名稱。專案包含區域和子網路。region_name 和 subnetwork_name 是與 VPC 專案相關聯的區域和子網路名稱。

   請確認 pg_hba.conf 檔案中的複製連線區段或來源資料庫在 AWS RDS 中的安全性群組定義已更新，以便接受來自 AlloyDB 虛擬私有雲 IP 位址範圍的連線。

5. 在可存取來源資料庫和 Compute Engine VM 的機器上執行指令碼。指令碼會執行下列作業：

   • 將 Compute Engine VM 設定為 SSH 通道堡壘伺服器。

   • 在來源資料庫和 VPC 之間建立安全的 SSH 連線。

   • 如果您要建立新的 Compute Engine VM，成功執行指令碼後，請複製指令碼輸出中的 VM 伺服器 IP，並在提供的文字欄位中輸入。稍後測試或啟動遷移工作時，系統會視需要更新 AlloyDB 執行個體。

6. 點選「設定並繼續」。

7. 驗證遷移工作，確認資料已從來源資料庫執行個體正確遷移至目的地 AlloyDB 資料庫執行個體。

8. 如果來源在 VPN 內 (例如在 AWS 或您自己的地端部署 VPN 內)，請前往「 透過 VPN 連線 VPC」一節，進一步瞭解如何設定來源 VPN 和 Google Cloud VPN，方便彼此搭配運作。

9. 設定遷移工作、驗證連線能力，並視需要成功設定 VPN 後，即可執行工作。