הגדרת קישוריות באמצעות שרת proxy של TCP דרך מכונה וירטואלית שמתארחת בענן

‫MySQL   |  PostgreSQL   |  PostgreSQL ל-AlloyDB

סקירה כללית

בתרחישי העברה מסוימים יכול להיות שלא תהיה אפשרות ליצור קישוריות ישירה בין מסדי הנתונים של המקור והיעד. במקרים כאלה מומלץ להשתמש במכונה וירטואלית של TCP proxy לניתוב תנועה. אפשר להגדיר מכונה וירטואלית של TCP proxy באמצעות סקריפט אוטומטי שנוצר על ידי Database Migration Service.

איור 1. דוגמה לקישוריות: שרת proxy של TCP שמשמש לניתוב תנועה כשמבצעים העברה ממכונת Cloud SQL בארכיטקטורת הרשת הישנה של ספק השירות (לחצו כדי להגדיל)

כשיוצרים משימת העברה, Database Migration Service אוסף את המידע הנדרש ויוצר סקריפט שמגדיר את מכונת ה-VM של ה-proxy. הסקריפט הזה מריץ כמה פקודות של Google Cloud CLI שמבצעות את הפעולות הבאות:

1. יצירה והגדרה של מכונה של Compute Engine באותו פרויקט ורשת VPC כמו מסד הנתונים של היעד.

   במכונה הווירטואלית הזו מופעל שרת proxy שקוף של TCP, שמוקצים לו כברירת מחדל כתובות IP פרטיות וציבוריות. הפרוקסי מתחיל לטפל בחיבורים נכנסים מיד אחרי האתחול.

2. יוצר כלל חומת אש שמאפשר חיבורים ממסד הנתונים של היעד ב-AlloyDB ל-PostgreSQL אל ה-proxy.

הגדרת מכונה וירטואלית של TCP Proxy

במסוף Google Cloud , כשמגדירים קישוריות בין המקור ליעד, מבצעים את הפעולות הבאות:

1. בתפריט הנפתח Connectivity method (שיטת הקישוריות), בוחרים באפשרות Proxy via cloud-hosted VM - TCP (פרוקסי דרך מכונה וירטואלית באירוח ענן – TCP).

2. מציינים את פרמטרי ההגדרה הבאים של מכונת Compute Engine שתשמש כמארח Bastion:

   • שם מכונת VM ב-Compute Engine: השם של מכונת Compute Engine.
   • סוג המכונה: סוג המכונה של Compute Engine, למשל n1-standard-n1.
   • תת-רשת: תת-הרשת של ה-VPC של היעד.
   הערה: מכונת ה-VM ב-Compute Engine שנוצרה על ידי הסקריפט לא מנוהלת על ידי Database Migration Service. הארגון שלכם יחויב על המופע בהתאם לתמחור הרגיל, והוא אחראי לניהול שלו, כולל מחיקת המופע כשאין בו יותר צורך.

3. כדי לראות את התסריט שנוצר, לוחצים על הצגת התסריט.

   כברירת מחדל, הסקריפט יוצר כתובת IP ציבורית לשרת של מכונת ה-VM ב-Compute Engine. אם הארגון שלכם לא מאפשר ליצור שרת proxy עם כתובת IP ציבורית, או אם יש לכם חששות לגבי אבטחה, אתם יכולים לבצע את השלבים הבאים כדי להשבית את האפשרות ליצור את הכתובת:

   1. מפעילים את גישה פרטית ל-Google בתת-הרשת שמשמשת לשרת ה-proxy. ההרשאה הזו נדרשת כדי לאפשר למכונת Compute Engine להוריד את תמונות Docker הנדרשות ממאגר Google Cloud התמונות.
   2. מוסיפים את המפתח no-address לארגומנט --network-interface של הפקודה gcloud compute instances create-with-container בסקריפט:

      gcloud compute instances create-with-container … --network-interface subnet=SUBNET-NAME,no-address

4. מריצים את הסקריפט במכונה שיש לה גישה לפרויקט Google Cloud של מסד הנתונים של היעד.

5. צריך לוודא שההגדרות הבאות מעודכנות כך שיאפשרו קבלת חיבורים מכתובת ה-IP היוצאת של שרת ה-TCP proxy:

   • הקטע [replication connections] בקובץ pg_hba.conf (למופע מקור בניהול עצמי).

   • ההגדרות של קבוצת האבטחה (למופע מקור של Amazon RDS/Aurora).

6. לוחצים על הגדרה והמשך.

7. אם המקור נמצא בתוך VPN (לדוגמה, ב-AWS או ב-VPN מקומי משלכם), אפשר לעיין במאמר הגדרת קישוריות באמצעות VPN לקבלת מידע נוסף על הגדרת ה-VPN של המקור ו- Google Cloud VPN כך שיפעלו יחד.

8. בדיקה ויצירה של משימת המיגרציה.