أي عنوان يراه جدار الحماية السحابي بعد تشغيل VPN
النفق الكامل يغيّر عنوان المصدر الذي تراه قاعدة بياناتك. غيّر قائمة السماح أو المسار الخاص أو النفق المنقسم، لا بيانات الاعتماد.
قاعدة بيانات تعمل قبل اتصال VPN وتفشل بعده نادراً ما تكون مشكلة في بيانات الاعتماد. تطابق جدران الحماية السحابية عناوين المصدر، والنفق الكامل يستبدل العنوان الذي كانت تطابقه. الفجوة بين ما تظن أن حاسوبك المحمول يرسله وما يستقبله الخادم هي المشكلة بأكملها، وهي قابلة للقياس في خطوة واحدة.
ماذا يصبح عنوان المصدر
في النفق الكامل، تغادر كل حزمة عبر بوابة VPN، لذا يرى الخادم عنوان الخروج الخاص بالبوابة لا اتصالك المنزلي. وإذا كان هناك وكيل أمامي في المسار، فالذي يصل هو عنوان الوكيل بدلاً من ذلك. كلاهما مصدر مشروع، ولا أحدهما هو العنوان المذكور في قاعدتك الأصلية.
تطابق قواعد جدار الحماية على مستوى الخادم ومستوى قاعدة البيانات في Azure SQL عنوان العميل الذي يصل إلى الخادم المنطقي، وهو بعد النفق الكامل عنوان الخروج. وتتصرف مجموعة أمان AWS التي تسمح بعنوان واحد بالطريقة نفسها. تُسقط الحزمة قبل المصادقة، لذا تبدو رسالة الخطأ التي تعود إليك كعطل في الشبكة لا كمشكلة في الأذونات. ولهذا بالضبط يبدأ الناس في إعادة تعيين كلمات المرور.
أين تُحدَّد قائمة السماح
اقرأ القاعدة التي تطابق المسار الفاشل، لا القاعدة التي تتذكر أنك أنشأتها. لاحظ نطاقها ومنفذها وبروتوكولها وما إذا كانت تُقيَّم قبل أي تحقق من الهوية.
ثم قرر أي طبقة تملك القرار بشكل مشروع. قاعدة العنوان تجيب عن مصدر حركة المرور. نقطة النهاية الخاصة تجيب عما إذا كانت الخدمة قابلة للوصول عبر مسار خاص أصلاً. واستثناء النفق المنقسم يجيب عن الوجهات التي تتجاوز النفق. وهذه ليست قابلة للتبادل، وكل واحدة منها تفشل بطريقة مختلفة عندما يتغير النفق.
ثلاثة إصلاحات، ثلاث طبقات
كل خيار أدناه يصلح التدفق لسبب مختلف، واختيار الخيار الخاطئ ينتج اتصالاً يعمل حتى تغيير البوابة التالي.
| Repair | Layer it changes | What it does not fix |
|---|---|---|
| Add the egress address to the rule | Source address matching | Nothing about routing, and it breaks when the egress moves |
| Use a private endpoint | Whether the service is reached privately | A client that still resolves the public name |
| Add a split-tunnel exception | Which flows bypass the tunnel | An expired credential or a wrong password |
إضافة عنوان الخروج هي أصغر تغيير وأكثره هشاشة، لأن بوابة جديدة أو منطقة مختلفة تُبطله بصمت. وثّق العنوان بجانب تعريف النفق كي ينتقل الاثنان معاً. النطاق الواسع المؤقت تشخيص لا إصلاح؛ وإبقاؤه في مكانه هو الطريقة التي تنتهي بها الخدمات الداخلية مكشوفة.
لماذا لا يمكن لمنصة مُدارة الانضمام إلى النفق
منصات التطبيقات مثل Heroku أو AppHarbor أو CloudBees تشغّل شفرتك في بيئة بلا جهاز tun أو tap وبلا صلاحيات لإنشاء واحد. ونموذج الاستقبال لديها هو HTTP لا مقبس استماع عشوائي. وحزمة بناء تُشحن معها ملف VPN ثنائي تظل بلا مكان تضع فيه الواجهة. الأنماط القابلة للعمل هي عنوان خروج ثابت يمكن لقاعدة البيانات السماح به، أو منتج اتصال خاص تقدمه المنصة، أو وكيل في منطقة منزوعة السلاح يُوصل إليه عبر HTTPS.
هذا الوكيل مسار وصول له مصادقته وتسجيله الخاص. وهو لا يجعل المنصة عضواً في شبكة VPN الخاصة بك، ووصفها بهذه الطريقة ينتج قواعد لا يستطيع أحد تدقيقها.
تحقق من العميل الذي فشل
أعد الاتصال وكرر مسار العميل نفسه بالضبط. افحص عنوان المصدر الذي تسجله الخدمة، والمسار الذي يختاره العميل لاسم قاعدة البيانات، ونتيجة الاستعلام الفعلي، بهذا الترتيب. والاختبار من البوابة يثبت أن البوابة تعمل، وهو أمر لم يكن موضع شك. وإذا صار الاتصال الآن يصادق والاستعلام ما زال يفشل، فالمشكلة المتبقية هي إذن قاعدة البيانات.
راجع هذه القواعد كلما تغير النفق. بوابة مستبدلة أو نطاق خروج جديد يكسر المسار دون أي تغيير في إعداد التطبيق على الإطلاق.