有关 Azure Database for PostgreSQL 中的迁移服务的网络方案

本文概述了使用 Azure Database for PostgreSQL 中的迁移服务将源数据库连接到 Azure Database for PostgreSQL 灵活服务器的各种方案。 每个方案都有不同的网络要求和配置，目的是成功建立迁移连接。 具体细节因实际网络设置以及源环境和目标环境的要求而异。

下表汇总了迁移方案。 该表基于源环境和目标环境的配置指示了是否支持各个方案。

本地（公共 IP）到灵活服务器（公共访问）

网络步骤：

1. 确保源数据库服务器具有公共 IP 地址。
2. 配置防火墙以允许 PostgreSQL 端口（默认端口为 5432）上的出站连接。
3. 确保可通过 Internet 访问源数据库服务器。
4. 通过验证从 Azure Database for PostgreSQL 的目标实例到源数据库的连接性来测试设置。 确认迁移服务可以访问源数据。

本地（专用 IP）到 VNet 集成的灵活服务器（ExpressRoute 或 VPN）

网络步骤：

1. 设置站点到站点 VPN 或 ExpressRoute 实例，以便在本地网络和 Azure 之间建立安全可靠的连接。
2. 配置 Azure 虚拟网络，以允许从本地 IP 地址范围进行的访问。
3. 设置网络安全组规则，以允许 PostgreSQL 端口（默认端口为 5432）上来自本地网络的流量。
4. 通过验证从 Azure Database for PostgreSQL 的目标实例到源数据库的连接性来测试设置。 确认迁移服务可以访问源数据。

托管 PostgreSQL 服务（公共 IP）到灵活服务器（公共/专用访问）

云提供商（例如 AWS 或 GCP）中的源 PostgreSQL 数据库必须具有公共 IP 地址或到 Azure 的直接连接。

网络步骤：

• 公共访问权限

  1. 如果 Amazon Web Services (AWS)、Google Cloud Platform (GCP) 或其他托管 PostgreSQL 服务中的 PostgreSQL 实例不可公开访问，请修改该实例以允许来自 Azure 的连接。 在云提供商的控制台中（例如，在 AWS 管理控制台或 Google Cloud 控制台中），更改设置以允许公共可访问性。
  2. 在云提供商的安全设置（例如 AWS 中的安全组或 GCP 中的防火墙规则）中添加入站规则，以允许来自 Azure Database for PostgreSQL 公共 IP 地址或域的流量。

• 专用访问权限

  1. 使用从云提供商（Azure ExpressRoute、AWS Direct Connect、GCP 互连）到 Azure 的 ExpressRoute、IPsec VPN 或等效的专用连接服务建立安全连接。
  2. 在源云提供商的安全设置（例如 AWS 安全组或 GCP 防火墙规则）中添加一条入站规则，以允许来自 Azure Database for PostgreSQL 公共 IP 地址/域或 PostgreSQL 端口（默认端口为 5432）上的 Azure 虚拟网络中的 IP 地址范围的流量。
  3. 创建在 Azure 中与 Azure Database for PostgreSQL 实例位于同一区域的虚拟网络。 设置网络安全组，以允许在默认端口 5432 上与源云提供商 PostgreSQL 实例的 IP 地址建立出站连接。
  4. 在 Azure 中设置网络安全组规则，以允许从云提供商（例如 AWS 或 GCP）到 Azure Database for PostgreSQL IP 地址范围的传入连接。
  5. 在托管的 PostgreSQL 服务（例如 AWS、GCP 或 Heroku）和 Azure Database for PostgreSQL 中测试 PostgreSQL 实例之间的连接，以确保没有网络问题发生。

Azure VM（专用访问）到 Azure Database for PostgreSQL（不同的虚拟网络）

此方案描述 Azure 虚拟机实例与位于不同虚拟网络中的 Azure Database for PostgreSQL 灵活服务器之间的连接。 需要虚拟网络对等互连和适当的网络安全组规则来促进 VNet 之间的流量。

网络步骤：

1. 设置两个 VNet 之间的虚拟网络对等互连以启用直接网络连接。
2. 配置网络安全组规则以允许 PostgreSQL 端口上的 VNet 之间的流量。

Azure VM 到 Azure Database for PostgreSQL（同一虚拟网络）

当 Azure VM 和 Azure Database for PostgreSQL 灵活服务器位于同一虚拟网络中时，配置非常简单。 设置网络安全组规则，以允许 PostgreSQL 端口上的内部流量。 由于流量保持在虚拟网络中，因此不需要其他防火墙规则。

网络步骤：

1. 确保 VM 和 PostgreSQL 服务器位于同一虚拟网络中。
2. 配置网络安全组规则，以允许虚拟网络中通过 PostgreSQL 端口的流量。

PostgreSQL 源（专用 IP）到灵活服务器（专用终结点）

本部分介绍将 PostgreSQL 数据库从基于云的 PostgreSQL 服务、本地设置或具有专用 IP 地址的 VM 迁移到使用专用终结点保护的 Azure Database for PostgreSQL 灵活服务器的网络步骤。 迁移可确保在专用网络空间中使用 Azure VPN 或 ExpressRoute 进行本地连接和虚拟网络对等互连或使用 VPN 进行云到云迁移的安全数据传输。 有关详细信息，请参阅迁移运行时服务器。

• 建立网络连接：

  1. 对于本地源，请设置站点到站点 VPN 或设置 ExpressRoute 以将本地网络连接到 Azure 的虚拟网络。
  2. 对于 Azure VM、Amazon 实例或 Google Compute Engine，请确保虚拟网络对等互连、VPN 网关或 ExpressRoute 实例已到位，以确保与 Azure 的虚拟网络建立安全连接。

• 收集迁移运行时服务器的 VNet 详细信息：

  1. 在 Azure 门户中，转到迁移运行时服务器。 即，访问 VNet 集成的 Azure Database for PostgreSQL 灵活服务器的实例。
  2. 记录虚拟网络和子网详细信息，这些详细信息列在虚拟网络下。

• 评估 VNet 对等互连要求：

  1. 如果服务器位于不同的 VNet 中，则启用虚拟网络对等互连。 如果服务器位于同一虚拟网络中，但在不同的子网中，则不需要对等互连。
  2. 确保没有网络安全组阻止源服务器、迁移运行时服务器和目标服务器之间的流量。

• 专用 DNS 区域配置：

  1. 在迁移运行时服务器的“网络”窗格中，确认正在使用专用 DNS 区域。
  2. 确保源和目标灵活服务器的 VNet 都链接到迁移运行时服务器的专用 DNS 区域。
  3. 如果尚未配置专用 DNS 区域，则将其附加到灵活服务器的专用终结点。
  4. 将灵活服务器和迁移运行时服务器的虚拟网络链接添加到专用 DNS 区域。

或者，当自定义 DNS 服务器或自定义 DNS 命名空间正在使用时，可以使用自定义 FQDN/IP 字段，而不是链接专用 DNS 区域。 借助此设置，可以直接解析 FQDN 或 IP，而无需专用 DNS 区域集成。

相关内容

• 什么是 Azure ExpressRoute？
• 关于点到站点 VPN
• 虚拟网络对等互连
• 迁移服务
• 已知问题和限制
• 预迁移验证