Kommersiya VPN-i 5432 portunu bloklayır? Seçimlərinizi müqayisə edin

Tətbiq hər gün ofisdən öz verilənlər bazası ilə danışırdı. Sonra kimsə həmin noutbukda kommersiya VPN müştərisini aktivləşdirdi və bağlantı əl sıxışmasından sonra yenidən qurulmağa başladı. Tətbiqdə heç nə dəyişmədi, tunel sağlam görünür və sizin idarə etdiyiniz firewall-da bloklama qaydası yoxdur. Dəyişən çıxış yoludur: provayder serverləri paylaşılan, yüksək həcmli son nöqtələrdir və provayderlər sui-istifadəni azaltmaq üçün gedən portları filtrləyirlər. Verilənlər bazası və poçt göndərmə portları bunun ən böyük hissəsini alır, çünki anonim ünvan hovuzundan skan və spam cəlb edən portlar məhz bunlardır.

Filtri hər şeydən ayıran beş dəqiqəlik test

Eyni maşından, açıq olmalı olan bir portu və uğursuz olan portu eyni hostda, tunel açıq və sonra bağlı halda yoxlayın. Hər iki dəfə eyni əmri istifadə edin ki, yeganə dəyişən tunel olsun:

Test-NetConnection db.example.com -Port 443
Test-NetConnection db.example.com -Port 5432
nc -vz -w3 db.example.com 5432

Dörd nəticə demək olar ki, bütün halları əhatə edir. Əgər 443 işləyirsə və 5432 yalnız tunel açıq olanda uğursuz olursa, çıxış yolunda port filtrləməsi ilə üz-üzəsiniz. Əgər hər ikisi tunel açıq olanda uğursuz olur və tunelsiz işləyirsə, problem port siyasəti deyil, marşrutlaşdırma və ya DNS-dir. Əgər hər iki port qoşulur, amma tətbiq yenə də uğursuz olursa, qüsur əlçatanlıqda deyil, autentifikasiya və ya TLS-dədir. Və yalnız bir provayder server məkanı uğursuz olursa, bu server üzrə siyasətdir, ona görə hər hansı konfiqurasiyaya toxunmadan əvvəl başqa məkan yoxlayın.

Birinci seçim: verilənlər bazası alt şəbəkəsi üçün split tunel

Əgər noutbuka kommersiya VPN-i yalnız başqa məqsədlər üçün lazımdırsa, verilənlər bazasının ünvan aralığını tuneldən çıxarın ki, trafik ümumiyyətlə paylaşılan çıxışa daxil olmasın. Bu, iki yolun həqiqətən görüşməsinə ehtiyac olmadıqda ən təmiz seçimdir və sənədləşdirə biləcəyiniz marşrut qaydasından başqa heç nəyə başa gəlmir. Güzəşt ondadır ki, split tunel ikinci bir siyasət səthi yaradır: tuneldən kənarda qalan şey qəsdən olmalıdır, kimsənin sonradan əlavə etdiyi alt şəbəkənin yan təsiri deyil.

Verilənlər bazası VPN-in çatmalı olduğu şəbəkənin içində yaşadığı anda işləməyi dayandırır, ona görə buna qərar verməzdən əvvəl bunu yoxlayın.

İkinci seçim: öz son nöqtəniz, öz çıxışınız

VPS-də kiçik bir VPN son nöqtəsi işlətmək çıxış siyasətinin idarəsini sizə verir və heç bir paylaşılan hovuz iştirak etmir. Kommersiya müştərisi ilə dürüst müqayisəyə dəyən seçim budur: proqnozlaşdırıla bilən mənbə ünvanı qazanır, provayderin qlobal izini və rahatlığını itirirsiniz. Bütün gün verilənlər bazası və poçt portlarına ehtiyac duyan komanda üçün güzəşt adətən son nöqtəyə sahib olmağın xeyrinə həll olunur, çünki uğursuzluq rejimi başqasının sui-istifadə siyasəti deyil, sizin öz səhv konfiqurasiyanız olur.

İkisini mənbə ünvanının sabitliyi, trafikinizi kimin oxuya bilməsi və son nöqtənin provayderinin öz filtrini dəyişdiyi gün nə baş verdiyi üzrə müqayisə edin.

Üçüncü seçim: noutbuku yoldan çıxarın

CI işi, cədvəllə işləyən konteyner və ya icazə verilmiş şəbəkənin içindəki bastion host insanın tunel vəziyyətindən asılı deyil. Artıq icazəli olan hostdan SSH tuneli ilə verilənlər bazasına çatın və noutbuk porta heç vaxt birbaşa müraciət etməsin. Bu, bir neçə nəfər eyni məhdudiyyətlə üzləşdikdə miqyaslanan seçimdir və həm də problemi ətrafına dolanmaq əvəzinə aradan qaldıran seçimdir.

Bu, split tunel qaydasından daha çox əvvəlcədən iş tələb edir və hazırda interaktiv sessiyaya ehtiyacı olan tək adama kömək etmir.

Provayderin ünvanını icazə siyahısına salmaq niyə səhv müqayisədir

Provayderin çıxış ünvanını verilənlər bazası icazə siyahısına əlavə etmək işləyir və həmin anda o ünvanı paylaşan hər digər abunəçiyə də giriş verir. Dar verilmiş tətbiq hesabı arxasındakı yalnız-oxuma replikası üçün məruz qalma bir gün üçün dözümlü ola bilər. Yazıla bilən hər şey üçün bu, adını çəkməyə dəyməyən bir güzəştdir və dəyişən çıxış ünvanları vəziyyəti pisləşdirir: hər server dəyişikliyi qaydanı pozur və texniki xidmət icazə siyahısının məqsədini məhv edən geniş CIDR girişlərini dəvət edir.

Xüsusi və ya statik ünvanlar, provayder onları satırsa, bunun miqyaslanan yeganə versiyasıdır. İcazə siyahısını yalnız sizə aid ünvana bağlayın və ya heç bağlamayın.

Nə seçsəniz seçin, yolu və səbəbi yazın. Növbəti adam eyni yenidən qurulan bağlantı ilə üzləşəcək və tətbiqi günahlandırmağa başlayacaq.