使用反向 SSH 通道設定連線

您可以透過安全的反向 SSH 通道，建立從 AlloyDB for PostgreSQL 目的地叢集到來源資料庫的連線。這個方法需要在 Google Cloud 專案中建立堡壘主機 VM，以及可連線至來源資料庫的機器 (例如來源網路上的伺服器或工作站)。

重要事項：如果來源位於 VPN 內 (例如 AWS 或您自己的地端部署 VPN)，來源連線設定檔應使用 VPN IP 位址和通訊埠，而非公開來源 IP 位址和通訊埠。

資料庫遷移服務會在建立遷移工作時收集必要資訊，並自動產生指令碼來設定通道元件。

圖 1. 遷移網路範例：透過 SSH 通道連線至來源。(按一下可放大)

設定反向 SSH 通道

建立遷移工作時，資料庫遷移服務流程會執行下列步驟，在來源資料庫和目的地 AlloyDB for PostgreSQL 叢集之間設定反向 SSH 通道。提供部分參數後，請在可連線至來源資料庫和 Google Cloud的機器上，執行一組gcloud指令。

1. 在「Connectivity method」(連線方式) 下拉式選單中，選取「Proxy via cloud-hosted VM - Reverse-SSH tunnel」(經過雲端託管 VM 的 Proxy - 反向 SSH 通道)。

2. 選取 VM 執行個體，用於建立來源資料庫與目的地 AlloyDB for PostgreSQL 叢集之間的連線。通常，這是在虛擬私有雲中執行的 VM，而存取 AlloyDB for PostgreSQL 資料庫的應用程式也在該虛擬私有雲中執行。VM 執行個體會做為 SSH 通道堡壘伺服器。

3. 您可以使用現有的 Compute Engine VM 執行個體：

   1. 從清單中選擇 Compute Engine VM 執行個體。
   2. 提供 SSH 通道可使用的閒置通訊埠。
   注意：如要讓反向 SSH 通道正常運作，請在堡壘伺服器的 /etc/ssh/sshd_config 檔案中，將 GatewayPorts 參數設為 yes。更新檔案後，請使用 sudo systemctl restart sshd.service 指令重新啟動 sshd 服務。如果不想變更現有 VM 的設定，請改為建立新的 VM。

4. 或者，您也可以在這個步驟建立新的 VM。選取「CREATE A COMPUTE ENGINE VM INSTANCE」(建立 Compute Engine VM 執行個體)，生成的指令碼就會包含建立執行個體的指令。

   1. 輸入 VM 執行個體的名稱。
   2. 選取 VM 的機型。
   3. 指定 VM 的子網路。
   注意：指令碼建立的 Compute Engine VM 執行個體不受資料庫遷移服務管理。如果建立，貴組織將依標準定價支付執行個體費用，且您必須負責管理，包括在不再需要時刪除執行個體。

5. 按一下「查看指令碼」，即可查看生成的指令碼。

   根據預設，指令碼會為 Compute Engine VM 伺服器產生公開 IP 位址。如要將 IP 位址設為私人，請按照下列步驟操作：

   • 新增 --no-address 旗標，修改 gcloud compute instances create 指令。
   • 新增 --internal-ip 旗標，修改 gcloud compute ssh 指令。

   此外，如要在 Shared VPC 的子網路上建立堡壘主機 VM，請修改產生的指令碼中的 export SUBNET_NAME 指令，指向 projects/project_name/regions/region_name/subnetworks/subnetwork_name。

   例如：

   export SUBNET_NAME=projects/myproject/regions/myregion/subnetworks/mysubnetwork

   project_name 是 Shared VPC 所在的專案名稱。region_name 和 subnetwork_name 是與虛擬私有雲專案相關聯的區域和子網路名稱。

   注意：請確認來源資料庫中 pg_hba.conf 檔案的複製連線區段 (適用於自行託管的 PostgreSQL)，或雲端安全性群組 (適用於 AWS RDS 或 Aurora) 已更新，可接受來自堡壘主機 VM IP 位址和目的地 AlloyDB for PostgreSQL 虛擬私有雲網路範圍，透過通訊埠 5432 傳入的連線。

6. 在可存取來源資料庫和 Compute Engine VM 的機器上執行指令碼。指令碼會執行下列作業：

   • 將 Compute Engine VM 設為 SSH 通道堡壘伺服器。
   • 建立安全的 SSH 連線，將流量從堡壘主機通訊埠轉送至來源 PostgreSQL 資料庫伺服器 (預設通訊埠 5432)。
   • 如果您要建立新的 Compute Engine VM，請在成功執行指令碼後，從指令碼輸出內容複製 VM 伺服器 IP 位址，並在提供的文字欄位中輸入該位址。稍後測試或啟動遷移工作時，系統會視需要更新目的地 AlloyDB for PostgreSQL 叢集設定。

7. 點選「設定並繼續」。

8. 驗證遷移工作，確認工作正確連線，並將資料從來源資料庫執行個體遷移至目的地 AlloyDB for PostgreSQL 叢集。

9. 視網路架構而定，您可能需要在系統中設定其他 VPN 閘道。詳情請參閱 Cloud VPN 說明文件中的「 在 Google Cloud 和 AWS 之間建立高可用性 VPN 連線」。

10. 設定遷移工作、驗證連線，並視需要成功設定 VPN 後，即可執行連續遷移工作。

後續步驟

• 如要進一步瞭解資料庫遷移服務中的資料庫網路連線，請參閱「 網路方法總覽」。

• 如需完整的逐步遷移操作說明，請參閱「 開始使用 AlloyDB for PostgreSQL 遷移功能」。