VPN を使用して接続を構成する

MySQL   |  PostgreSQL   |  PostgreSQL から AlloyDB

概要

移行元データベースが VPN（AWS の VPN や独自のオンプレミス VPN など）の内部にある場合は、移行先側でも VPN を使用して移行元に接続する必要があります。

使用できる VPN プロダクトは多数あります。VPN の構成手順はプロダクトによって異なりますが、基本的な手順は同じです。このセクション では、AWS と Google Cloud VPN を使用した例を示します。

ソース データベース サーバーのファイアウォールは、AlloyDB の宛先インスタンスが使用する VPC ネットワークのプライベート サービス接続に割り振られた内部 IP 範囲全体を許可するように構成する必要があります。

コンソールで内部 IP 範囲 を確認するには:

1. [VPC ネットワーク] ページをコンソールで Google Cloud 開きます。

2. 使用する VPC ネットワークを選択します。

3. [プライベート サービス アクセス] > [Allocated IP ranges for services] を選択します。

4. servicenetworking-googleapis-com によって作成された接続に関連付けられている内部 IP 範囲 を見つけます。

注: Virtual Private Cloud ネットワーキングを使用するには、 Service Networking API をプロジェクトで有効にする必要があります。 Google Cloud

例 1: 静的ルートを使用する Google Cloud Classic VPN を使用した AWS

詳細な手順については、次のリンクをご覧ください。

• AWS 側で、サイト間 VPN を設定します。
• 側 Google Cloud で、静的ルーティングを使用して Cloud VPN を作成します。

全体的な手順は次のようになります。

1. Google Cloud コンソール > [VPC ネットワーク] > [外部 IP アドレス] で、Cloud VPN に使用する静的 IP アドレスを予約します。
2. AWS VPC コンソールで、次の操作を行います。
   1. カスタマー ゲートウェイを作成します。
   2. 新しい仮想プライベート ゲートウェイを作成するか、既存のゲートウェイをデータベースに関連付けられた VPC に追加します。
   3. [**ルートテーブル**] で、[**ルート伝播**] を追加します。
   4. [**編集**] をクリックし、[**伝播**] チェックボックスをオンにして [**保存**] をクリックすると、 VPC Google Cloud ネットワークの IP アドレス範囲が宛先範囲として追加されます。
3. AWS VPC コンソールで、VPN を作成します。
   1. [**VPN 接続**] で、[**サイト間 VPN 接続**] を選択します。
   2. [VPN 接続を作成] を選択します。
   3. VPN 接続の名前を入力します。
   4. [**仮想プライベート ゲートウェイ**] で、この手順で 作成または選択したプライベート ゲートウェイを選択します。
   5. [**カスタマー ゲートウェイ**] で、この手順で作成したカスタマー ゲートウェイを選択します 。
   6. For [Routing Options], select [Static], and specify the static IP address you reserved for the Cloud VPN as a CIDR (add /32).
   7. 構成をダウンロードして設定を保存します。
      1. ファイルに「Default 」という名前を付けます。
      2. [IP Sec Tunnels] セクション #1 と #2 を見つけます。
      3. 各トンネルの IKE バージョンと事前共有キー をメモします。
      4. 各トンネルの仮想プライベート ゲートウェイ の IP アドレスをメモします。
      5. 各トンネルの [静的ルート構成オプション] の IP アドレスをメモします。
4. Google Cloudで、静的ルーティングを使用して Classic VPN を作成します。
   1. Google Cloud [コンソール] > [ハイブリッド接続] > [VPN] で、次の操作を行います。
   2. [VPN 接続を作成] をクリックします。
      1. VPC ネットワークとリージョンを選択します。
      2. Cloud VPN には、この手順で予約した静的 IP アドレスを使用します。
      3. この手順でダウンロードした AWS 構成の Pre-shared key とキータイプを使用します。
      4. [ルートベース] ルーティング オプションを選択して、2 つのトンネルを追加します。各トンネルの [リモート ネットワーク IP 範囲] フィールドには、この手順でダウンロードした AWS 構成ファイルの IP Sec Tunnel セクションの [静的ルート構成オプション] の IP アドレスを使用します。
      5. [作成] をクリックします。リモート ネットワーク IP 範囲

5. AWS RDS コンソールで、次の操作を行います。
   1. セキュリティ グループを選択します。
   2. Cloud VPN からのすべてのプロトコルとポートを許可する上り（内向き）ファイアウォール ルールを追加します。

VPN トンネルはまもなく通信を開始します。AWS 側では、VPC ダッシュボードでトンネルのステータスが UP になります。GCP 側では、 Cloud Logging コンソールで VPN 間のトラフィックを Cloud VPN gateway プロジェクトで確認します。

例 2: 動的ルートを使用する Google Cloud HA VPN を使用した AWS

HA VPN（動的ルート）を使用して AWS と VPC ピアリングを行うには、BGP ルートを AlloyDB ピアリング VPC にエクスポートし、AlloyDB ピアリング VPC にインポートされたルートのカスタム アドバタイズ ルートを Cloud Router に作成する必要があります。この時点で、Cloud Router は AWS ルートを AlloyDB VPC にアドバタイズし、その逆も同様です。両側のファイアウォール ルールも、AlloyDB ピアリング ルートの CIDR と一致する必要があります。

AWS 側では、例 1 の最初の 3 つの手順に沿って操作できますが、 [ルーティング オプション] で [静的] ではなく [動的] を選択します。

1. コンソールで AlloyDB VPC ピアリング構成を選択し、[Console] [**インポートされたルート**] の [宛先 IP 範囲] をメモします。詳細については、カスタムルートのインポートとエクスポートをご覧ください。
2. この VPC ピアリングを編集し、VPC ピアリング接続の詳細で Import Custom Routes と Export Custom Routes をオンにして、 [**保存**] をクリックします。

   これで、ピアリングは BGP ピアからのルートと同様に、VPC から動的ルートを受信します。これにより、VPN からピアリングされたネットワークへのトラフィックが可能になります。 ただし、Cloud Router はまだこのルートを他のネットワークにアドバタイズしていません。 これを行うには、Cloud Router にカスタム アドバタイズ ルートを追加して、VPC がインポートされたルートを他のネットワークにアドバタイズするようにします。詳細については、カスタムルートのインポートとエクスポートをご覧ください。

3. DESTINATION_IP_RANGE カスタム IP 範囲を、Cloud Router 構成のアドバタイズ ルートにカスタム ルートとして追加します。BGP ピアリング ネットワークは、インポートされた AlloyDB ネットワーク ルート、DESTINATION_IP_RANGE のアドバタイズを受信するようになりました。AlloyDB ピアリング VPC にバインドされた VPN 接続ネットワーク上のトラフィックは、VPN トンネルを介してルーティングされるようになりました。
4. AWS ルートテーブルでルートの伝播を許可します。移行元データベースを含むサブネットの AWS ルートテーブルに、VPN 仮想プライベート ゲートウェイにルーティングする DESTINATION_IP_RANGE 範囲のエントリが含まれていることを確認します。
5. セキュリティ グループ ファイアウォールの上り（内向き）ルールを追加して、 DESTINATION_IP_RANGE TCP port 5432 のトラフィックを許可します。 これで接続を確立できます。