Configurar a conectividade usando VPNs

MySQL   |  PostgreSQL   |  PostgreSQL para AlloyDB

Visão geral

Se o banco de dados de origem estiver em uma VPN (por exemplo, na AWS ou na sua VPN local), também será necessário usar uma VPN no lado de destino para se conectar à origem.

Há muitos produtos de VPN que você pode usar. As etapas para configurar VPNs variam de um produto para outro, mas todas são fundamentalmente semelhantes. Esta seção contém exemplos que usam VPNs da AWS e do Google Cloud .

O firewall do servidor de banco de dados de origem precisa ser configurado para permitir todo o intervalo de IPs interno alocado para a conexão de serviço particular da rede VPC que a instância de destino do AlloyDB vai usar.

Para encontrar o intervalo de IP interno no console:

1. Acesse a página "Redes VPC" no console do Google Cloud .

2. Selecione a rede VPC que você quer usar.

3. Selecione Acesso a serviços particulares > Intervalos de IP alocados para serviços.

4. Encontre o intervalo de IP interno associado à conexão criada por servicenetworking-googleapis-com.

Observação: para usar a rede de nuvem privada virtual, ative a API Service Networking no projeto Google Cloud .

Exemplo 1: AWS com VPN clássica do Google Cloud com rotas estáticas

Confira uma documentação mais completa e detalhada nos links a seguir:

• No lado da AWS, configure uma VPN site a site.
• No lado do Google Cloud , crie uma Cloud VPN usando roteamento estático.

Juntas, as etapas gerais ficam assim:

1. No console Google Cloud > Redes VPC > Endereços IP externos, reserve um endereço IP estático para usar na Cloud VPN.
2. No console da VPC da AWS:
   1. Crie um gateway de cliente.
   2. Crie um gateway particular virtual ou adicione um à VPC associada ao seu banco de dados.
   3. Em Tabelas de rotas, adicione a propagação de rotas:
   4. Clique em Editar, marque a caixa de seleção propagar e clique em Salvar para adicionar o intervalo de endereços IP da sua rede VPC Google Cloud como o intervalo de destino.
3. No console da VPC da AWS, crie a VPN:
   1. Em Conexões VPN, selecione Conexões VPN site a site.
   2. Selecione Criar conexão VPN.
   3. Digite um nome para a conexão VPN.
   4. Em Gateway particular virtual, selecione o gateway particular que você criou ou selecionou anteriormente neste procedimento.
   5. Em Gateway do cliente, selecione o gateway do cliente que você criou anteriormente neste procedimento.
   6. Em Opções de roteamento, selecione Estático e especifique o endereço IP estático reservado para a Cloud VPN como um CIDR (adicione /32).
   7. Baixe a configuração para salvar as definições.
      1. Salve o arquivo como Padrão.
      2. Encontre as seções Túneis IP Sec nº 1 e nº 2.
      3. Anote a versão do IKE e a chave pré-compartilhada de cada túnel.
      4. Anote o endereço IP do gateway de VPN virtual de cada túnel.
      5. Anote o endereço IP da opção de configuração de rota estática para cada túnel.
4. No Google Cloud, crie uma VPN clássica usando roteamento estático.
   1. No console Google Cloud > Conectividade híbrida > VPN:
   2. Clique em Criar conexão VPN.
      1. Selecione a rede VPC e a região.
      2. Para a Cloud VPN, use o endereço IP estático reservado anteriormente neste procedimento.
      3. Use um Pre-shared key e um tipo de chave da configuração da AWS que você baixou anteriormente neste procedimento.
      4. Selecione a opção de roteamento Baseado em rotas e adicione dois túneis. Para cada campo Intervalo de IP de rede remota do túnel, use um endereço IP para a Opção de configuração de rota estática das seções IP Sec Tunnel do arquivo de configuração da AWS que você baixou anteriormente neste procedimento.
      5. Clique em Criar.Intervalo de IP da rede remota

5. No console do RDS da AWS:
   1. Selecione um grupo de segurança.
   2. Adicione regras de firewall de entrada para permitir todos os protocolos e portas da Cloud VPN.

Os túneis de VPN vão começar a se comunicar em breve. No painel da VPC da AWS, os status dos túneis são UP. No lado do GCP, confira o tráfego entre as VPNs no console do Cloud Logging no projeto Cloud VPN gateway.

Exemplo 2: AWS com VPN de alta disponibilidade do Google Cloud com rotas dinâmicas

Para ter peering de VPC com uma VPN de alta disponibilidade (rotas dinâmicas) para a AWS, exporte rotas BGP para a VPC com peering do AlloyDB e crie uma rota divulgada personalizada no Cloud Router para a rota importada da VPC com peering do AlloyDB. Nesse momento, o Cloud Router está anunciando rotas da AWS para a VPC do AlloyDB e vice-versa. As regras de firewall nos dois lados também precisam corresponder ao CIDR da rota de peering do AlloyDB.

Na AWS, siga as três primeiras etapas do Exemplo 1, mas selecione Dinâmico em vez de Estático em Opções de roteamento.

1. Selecione sua configuração de peering de VPC do AlloyDB no Console e anote os Intervalos de IP de destino em ROTAS IMPORTADAS. Para mais informações, consulte Como importar e exportar rotas personalizadas.
2. Edite o peering de VPC e marque Import Custom Routes e Export Custom Routes nos detalhes da conexão de peering de VPC. Clique em SALVAR.

   O peering agora recebe rotas dinâmicas da sua VPC, assim como as rotas de peers do BGP. Isso permite o tráfego da VPN para a rede com peering. No entanto, o Cloud Router ainda não está divulgando essa rota para outras redes. Para isso, adicione rotas divulgadas personalizadas no Cloud Router para que sua VPC divulgue as rotas importadas para outras redes. Para mais informações, consulte Como importar e exportar rotas personalizadas.

3. Adicione seu intervalo de IP personalizado DESTINATION_IP_RANGE como uma rota personalizada nas rotas anunciadas da configuração do Cloud Router. As redes com peering de BGP agora estão recebendo anúncios das rotas de rede do AlloyDB importadas, DESTINATION_IP_RANGE. O tráfego nessas redes conectadas por VPN com destino à VPC com peering do AlloyDB agora é roteado pelo túnel da VPN.
4. Permitir que as rotas sejam propagadas nas tabelas de rotas da AWS. Verifique se as tabelas de rotas da AWS para as sub-redes que contêm o banco de dados de origem têm uma entrada para o intervalo DESTINATION_IP_RANGE que roteia para o gateway particular virtual da VPN.
5. Adicione uma regra de entrada de firewall do grupo de segurança para permitir o tráfego de DESTINATION_IP_RANGE TCP port 5432. Agora é possível estabelecer a conectividade.