使用反向 SSH 隧道配置连接

您可以通过安全的 SSH 反向隧道建立从 AlloyDB for PostgreSQL 目标集群到源数据库的连接。此方法需要 Google Cloud 项目中的堡垒主机虚拟机，以及可连接到源数据库的机器（例如源网络上的服务器或工作站）。

重要提示：如果您的来源位于 VPN（例如 AWS 或您自己的本地 VPN）中，则来源连接配置文件应使用 VPN IP 地址和端口，而不是公共来源 IP 地址和端口。

Database Migration Service 会在迁移作业创建时收集所需信息，并自动生成用于配置隧道组件的脚本。

图 1. 迁移网络示例：通过 SSH 隧道建立源连接。（点击可放大）

设置反向 SSH 隧道

在创建迁移作业时，系统会在 Database Migration Service 流程中执行以下步骤，以在源数据库与目标 AlloyDB for PostgreSQL 集群之间设置反向 SSH 隧道。提供一些参数后，您可以在同时连接到源数据库和 Google Cloud的机器上执行一组 gcloud 命令。

1. 在连接方法下拉菜单中，选择通过云端托管式虚拟机的代理 - 反向 SSH 隧道。

2. 选择用于在源数据库和目标 AlloyDB for PostgreSQL 集群之间建立连接的虚拟机实例。通常，这是在 VPC 中运行的虚拟机，其中运行访问 AlloyDB for PostgreSQL 数据库的应用。虚拟机实例用作 SSH 隧道堡垒服务器。

3. 为此，您可以使用现有的 Compute Engine 虚拟机实例：

   1. 从列表中选择 Compute Engine 虚拟机实例。
   2. 提供 SSH 隧道可以使用的空闲端口。
   注意：为使反向 SSH 隧道正常工作，请在堡垒服务器上的 /etc/ssh/sshd_config 文件中将 GatewayPorts 参数设置为 yes。更新文件后，使用 sudo systemctl restart sshd.service 命令重启 sshd 服务。如果您不想更改现有虚拟机的配置，请改为创建新的虚拟机。

4. 或者，您也可以在此步骤中创建新的虚拟机。选择创建 COMPUTE ENGINE 虚拟机实例，生成的脚本会包含创建该实例的说明。

   1. 为虚拟机实例提供名称。
   2. 为虚拟机选择机器类型。
   3. 为虚拟机指定子网。
   注意：由脚本创建的 Compute Engine 虚拟机实例不受 Database Migration Service 管理。如果创建了实例，系统会根据标准价格向贵组织收取实例费用，并且您需要负责管理该实例，包括在不再需要该实例时将其删除。

5. 点击查看脚本，查看生成的脚本。

   默认情况下，该脚本会为 Compute Engine 虚拟机服务器生成一个公共 IP 地址。如果您希望 IP 地址为不公开，请执行以下步骤：

   • 通过添加 --no-address 标志来更改 gcloud compute instances create 命令。
   • 通过添加 --internal-ip 标志来更改 gcloud compute ssh 命令。

   此外，如果您想在共享 VPC 的子网上创建堡垒主机虚拟机，请更改所生成脚本中的 export SUBNET_NAME 命令，使其指向 projects/project_name/regions/region_name/subnetworks/subnetwork_name。

   例如：

   export SUBNET_NAME=projects/myproject/regions/myregion/subnetworks/mysubnetwork

   project_name 是共享 VPC 所在项目的名称。region_name 和 subnetwork_name 是与 VPC 项目关联的区域和子网的名称。

   注意：请确保源数据库上 pg_hba.conf 文件的复制连接部分（对于自托管式 PostgreSQL）或云安全组（对于 AWS RDS 或 Aurora）已更新，以接受来自堡垒主机虚拟机 IP 地址和目标 AlloyDB for PostgreSQL VPC 网络范围的端口 5432 上的传入连接。

6. 在可同时访问源数据库和 Compute Engine 虚拟机的机器上运行脚本。该脚本会执行以下操作：

   • 将 Compute Engine 虚拟机配置为 SSH 隧道堡垒服务器。
   • 建立安全的 SSH 连接，将流量从堡垒机主机端口转发到源 PostgreSQL 数据库服务器（默认端口 5432）。
   • 如果您要创建新的 Compute Engine 虚拟机，请在成功运行脚本后，从脚本输出中复制虚拟机服务器 IP 地址，并将其输入到提供的文本字段中。稍后测试或启动迁移作业时，系统会根据需要更新 AlloyDB for PostgreSQL 目标集群配置。

7. 点击配置并继续。

8. 验证迁移作业，确认其正确连接并从源数据库实例迁移数据到目标 AlloyDB for PostgreSQL 集群。

9. 根据您的网络架构，您可能需要在系统中设置其他 VPN 网关。如需了解详情，请参阅 Cloud VPN 文档中的 在 Google Cloud 和 AWS 之间创建高可用性 VPN 连接。

10. 配置迁移作业、验证连接并成功配置 VPN（如有必要）后，您可以运行持续迁移作业。

后续步骤

• 如需详细了解 Database Migration Service 中的数据库网络连接，请参阅 网络方法概览。

• 如需获取完整的逐步迁移演示，请参阅 开始使用 AlloyDB for PostgreSQL 迁移。