Yerli verilənlər bazası müştərisi, özəl RDS: bağlantı niyə vaxt aşımına uğrayır

Bir tərtibatçının noutbuku özəl RDS son nöqtəsinə qoşularkən vaxt aşımına uğrayır, halbuki eyni etimadnamələr bastion hostdan işləyir. Heç nə sıradan çıxmayıb. Həmin noutbukla verilənlər bazası arasındakı yolda üç şeydən biri çatışmır: həll olunan ad, trafiki daşıyan marşrut və ya verilənlər bazasının həqiqətən gördüyü mənbəyə icazə verən təhlükəsizlik qrupu qaydası. Digər ikisini dəyişməzdən əvvəl hansının çatışmadığını tapın.

Uğursuzluğu düzgün qatda oxuyun

Vaxt aşımı tək bir xəta deyil. Həll olunmayan ad paket maşından çıxmazdan əvvəl uğursuz olur. Marşrutsuz ünvan paketləri qara dəliyə göndərir. Filtrlənmiş port səhv hosta bənzəyən gözləmə yaradır. Addımları sıra ilə icra edin və uğursuz olan ilk addımda dayanın.

dig +short db.internal.example
nc -vz db.internal.example 5432

Ad açıq ünvan qaytarırsa və ya heç nə qaytarmırsa, tunel hələ problem deyil.

Ad həll olunur və port testi asılırsa, həll etdiyiniz ünvanı verilənlər bazasının bildirdiyi ünvanla müqayisə edin. İdarə olunan son nöqtə VPC daxilində özəl ünvana, ondan kənarda isə faydalı heç nəyə həll oluna bilər və köhnə axtarışdan kopyalanmış ünvan artıq cavab verməyən hostu göstərəcək.

Tuneli marşrutdan ayırın

Müştəri VPN-inə qoşulmaq hər özəl aralığı avtomatik marşrutlaşdırmır. Profil xidmətin itələdiyi marşrutları daşıyır və müştəri onların yalnız bir qismini quraşdıra bilər. Müştərinin həqiqətən əlavə etdiyi aralıqlara və verilənlər bazası ünvanının onlardan birinə düşüb-düşmədiyinə baxın.

ip route get 10.20.40.15
ip addr show tun0

Tunel interfeysinə yönələn marşrut zəruridir; kifayət deyil, çünki qarşı tərəf hələ də trafiki qəbul etməlidir.

Split-tunel profilləri bu yarımçıq uğursuzluğun adi mənbəyidir. Onlar profilin nəzərdə tutulduğu tətbiq üçün işləyir və verilənlər bazası aralığını tuneldən kənarda qoyur, bu da firewallun yaradacağı vaxt aşımının eynisini yaradır.

Təhlükəsizlik qrupunu real mənbəyə uyğunlaşdırın

RDS təhlükəsizlik qrupu insanlara deyil, mənbələrə icazə verir. Arxitekturadan asılı olaraq mənbə VPN müştəri hovuzu, bastionun özəl ünvanı və ya trafikin çevrildiyi NAT ünvanı ola bilər. Qaydayı və faktiki paket mənbəyini birlikdə oxuyun.

aws ec2 describe-security-groups --group-ids sg-0123456789abcdef0 \
  --query 'SecurityGroups[].IpPermissions'

Bir noutbukun ev ünvanı üçün qayda giriş dizaynı deyil, texniki xidmət problemidir.

Yolda müştəri VPN və ya NAT şlüzü olduqda, verilənlər bazası tərtibatçının tunel ünvanı yerinə tərcüməçinin ünvanını görə bilər. Buna görə işləyən bastion quruluşundan kopyalanmış qayda noutbuk üçün uğursuz ola bilər: iki yol fərqli mənbələrdən gəlir, halbuki hər ikisi daxili görünür.

Geniş yoldan çox dar yola üstünlük verin

Bir tərtibatçıya bir verilənlər bazası lazım olduqda, sessiya əsaslı yönləndirmə tam şəbəkə tunelindən istismar baxımından tez-tez daha ucuzdur. Yerli müştəri yönləndirilmiş porta qoşulur və uzaq komponent verilənlər bazası bağlantısını şəbəkənin içindən qurur.

ssh -N -L 5432:db.internal.example:5432 bastion.internal.example

Bu dizaynda TLS yoxlamasını toxunulmaz saxlayın. Müştəri hələ də server sertifikatını gözlədiyi ada uyğun yoxlamalıdır; yerli yönləndirilmiş port yoxlamanı söndürməyə səbəb deyil və onu söndürmək tutmağa dəyər şəxsiyyət problemini məhz gizlədir.

Tam tunel ilə dar yönləndirmə arasındakı seçim təhlükəsizlik teatrı deyil, əhatə dairəsi barədə qərardır.

Geridə təkrarlana bilən yol qoyun

Həll olunmuş ünvan yerinə son nöqtənin adını, təhlükəsizlik qrupunun icazə verdiyi mənbə aralığını və tərtibatçının istifadə etdiyi verilənlər bazası rolunu sənədləşdirin. Bu üç fakt gələcək uğursuzluqların çoxunu zəng etmədən izah edir. Müştəri profilinin versiyasını da əlavə edin, çünki profil dəyişikliyi köhnənin daşıdığı marşrutu silə bilər.

Sonra mənfi halı bir dəfə sınaqdan keçirin: təsdiqlənmiş mənbədən kənarda olan müştəri yenə də rədd edilməlidir.

Yalnız onu quran şəxs üçün işləyən özəl verilənlər bazası özəl giriş deyil; o, yenidən kəşf edilməyi gözləyən sənədləşdirilməmiş istisnadır. Yolu yazın və növbəti tərtibatçı sirr yerinə metod miras alacaq.