Камерцыйны VPN блакуе порт 5432? Параўнайце свае варыянты

Прыкладанне кожны дзень звязвалася са сваёй базай даных з офіса. Потым нехта ўключыў камерцыйны кліент VPN на тым самым ноўтбуку, і злучэнне пачало скідвацца пасля рукапаціску. У прыкладанні нічога не змянілася, тунель паведамляе пра здаровы стан, а брандмаўэр, які вы кантралюеце, не мае правіла блакавання. Змяніўся шлях выхаду: серверы пастаўшчыка — гэта агульныя высакахуткасныя канчатковыя пункты, а пастаўшчыкі фільтруюць зыходныя парты, каб паменшыць злоўжыванні. Парты баз даных і адпраўкі пошты атрымліваюць большасць гэтага, бо менавіта яны прыцягваюць сканаванне і спам з ананімнага пула адрасоў.

Пяціхвілінны тэст, які аддзяляе фільтраванне ад усяго астатняга

З той жа машыны праверце адзін порт, які павінен быць адкрытым, і порт, які збаўляе, на тым жа хаспе, з уключаным тунелем і потым выключаным. Выкарыстоўвайце адну і тую ж каманду абодва разы, каб адзінай зменнай быў тунель:

Test-NetConnection db.example.com -Port 443
Test-NetConnection db.example.com -Port 5432
nc -vz -w3 db.example.com 5432

Чатыры вынікі ахопліваюць амаль усе выпадкі. Калі 443 працуе, а 5432 збаўляе толькі пры ўключаным тунелі, вы бачыце фільтраванне партоў на шляху выхаду. Калі абодва збаўляюць пры ўключаным тунелі і абодва працуюць без яго, праблема ў маршрутызацыі або DNS, а не ў палітыцы партоў. Калі абодва парты злучаюцца, але прыкладанне ўсё яшчэ збаўляе, віна ў аўтэнтыфікацыі або TLS, а не ў дасяжнасці. І калі збаўляе толькі адно месцазнаходжанне сервера пастаўшчыка, гэта палітыка для канкрэтнага сервера, таму паспрабуйце іншае месцазнаходжанне, перш чым чапаць якую-небудзь канфігурацыю.

Варыянт першы: падзелены тунель для падсеткі базы даных

Калі ноўтбуку камерцыйны VPN патрэбны толькі для іншых мэтаў, выключыце дыяпазон адрасоў базы даных з тунеля, каб трафік зусім не трапляў на агульны выхад. Гэта найбольш чысты варыянт, калі два шляхі сапраўды не павінны сустракацца, і ён не каштуе нічога, акрамя правіла маршрутызацыі, якое можна задокументаваць. Кампраміс у тым, што падзелены тунель стварае другую паверхню палітыкі: тое, што выключана з тунеля, павінна быць наўмысным, а не пабочным эфектам падсеткі, якую нехта дадаў пазней.

Гэта перастае працаваць у той момант, калі база даных знаходзіцца ўнутры сеткі, да якой VPN павінен дабрацца, таму праверце гэта, перш чым спыніцца на гэтым.

Варыянт другі: свой канчатковы пункт, свой выхад

Запуск невялікага канчатковага пункта VPN на VPS дае вам кантроль над палітыкай выхаду, і агульны пул не задзейнічаны. Гэта варыянт, які варта сумленна параўнаць з камерцыйным кліентам: вы атрымліваеце прадказальны адрас крыніцы і губляеце глабальны след і зручнасць пастаўшчыка. Для каманды, якой парты баз даных і пошты патрэбны ўвесь дзень, кампраміс звычайна схіляецца да валодання канчатковым пунктам, бо рэжым збою становіцца вашай уласнай памылкай канфігурацыі, а не чужой палітыкай супраць злоўжыванняў.

Параўнайце абодва па стабільнасці адраса крыніцы, па тым, хто можа чытаць ваш трафік, і па тым, што адбываецца ў дзень, калі пастаўшчык канчатковага пункта зменіць сваё фільтраванне.

Варыянт трэці: прыбярыце ноўтбук з шляху

Заданне CI, запланаваны кантэйнер або бастыён-хост унутры дазволенай сеткі не залежыць ад стану тунеля чалавека. Дасягніце базы даных праз тунель SSH з хоста, які ўжо дазволены, і ноўтбук ніколі не звяртаецца да порта напрамую. Гэта варыянт, які маштабуецца, калі некалькі чалавек сутыкаюцца з адным абмежаваннем, і менавіта ён выдаляе праблему, а не абыходзіць яе.

Гэта патрабуе больш працы наперад, чым правіла падзеленага тунеля, і не дапамагае аднаму чалавеку, якому зараз патрэбна інтэрактыўная сесія.

Чаму даданне адраса пастаўшчыка ў спіс дазволеных — няправільнае параўнанне

Даданне выхаднога адраса пастаўшчыка ў спіс дазволеных для базы даных працуе, але яно таксама дае доступ кожнаму іншаму абаненту, які дзеліць гэты адрас у той момант. Для рэплікі толькі для чытання за вузка выдадзеным уліковым запісам прыкладання ўздзеянне можа быць дапушчальным на адзін дзень. Для ўсяго, што можна запісваць, гэта не кампраміс, варты назвы, а зменлівыя выхадныя адрасы робяць горш: кожная змена сервера ламае правіла, а абслугоўванне запрашае шырокія запісы CIDR, якія знішчаюць сэнс спіса дазволеных.

Выдзеленыя або статычныя адрасы, там дзе пастаўшчык іх прадае, — адзіная версія гэтага, якая маштабуецца. Прывяжыце спіс дазволеных да адраса, які належыць толькі вам, або не прывязвайце зусім.

Што б вы ні выбралі, запішыце шлях і прычыну. Наступны чалавек сустрэне тое ж злучэнне, што скідваецца, і пачне вінаваціць прыкладанне.