SQL праз VPN: прамы кліент ці ўнутраная працоўная станцыя?

Каманды хочуць бачыць SSMS на сваіх ноўтбуках, і хуткае рашэнне — апублікаваць порт SQL у пул VPN. Павольнейшы адказ пытае, дзе павінен працаваць працэс кліента, бо прамы доступ і ўнутраная працоўная станцыя даюць розныя адрасы крыніцы, давер да канчатковага пункта і шляхі даных. Ні адзін з іх не з'яўляецца аўтаматычна бяспечным, і адно членства ў VPN нічога не вырашае. Параўнайце канструкцыі да таго, як з'явіцца правіла дазволу.

Два шляхі, два адрасы крыніцы

Пры прамым доступе ноўтбук нясе канфігурацыю кліента і сам адкрывае злучэнне з базай даных. Пры аддаленай працоўнай станцыі ноўтбук адкрывае сеанс працоўнага стала, а працоўная станцыя ўстанаўлівае злучэнне SQL са свайго адраса. Такім чынам, база даных бачыць пул VPN або пераўтвораны шлюз у першай канструкцыі і адрас працоўнай станцыі ў другой. Гэтая розніца вызначае, якое правіла міжсеткавага экрана і якія правы SQL фактычна дзейнічаюць.

Ноўтбук па-ранейшаму кіруе аддаленым сеансам, таму працоўная станцыя не замяняе аўтэнтыфікацыю карыстальніка або палітыку сеанса.

Праверце, што база даных бачыць насамрэч

Адрас крыніцы трэба вымяраць, а не выводзіць з дыяграмы. Чытайце яго з боку сервера жывога злучэння.

Test-NetConnection sql.example.com -Port 1433
sqlcmd -S tcp:sql.example.com,1433 -N -d appdb -Q "select SUSER_SNAME() as login_name, DB_NAME() as db"

Тэст злучэння даказвае, што слухач прымае TCP з гэтай сеткі, а запыт даказвае, да якога лагіну і базы даных дайшоў сеанс. Каб убачыць адрас, які запісаў сервер, запытайце sys.dm_exec_connections для бягучага сеанса; ён вяртае адрас кліента пасля любога пераўтварэння. Калі гэта значэнне — шлюз, а не ноўтбук, правіла хоста для асобнага карыстальніка не можа працаваць на машыне з базай даных. Запішыце назіранае значэнне побач з абранай канструкцыяй, бо перападлучэнні і змены пула зрушваюць яго.

Адчыніце слухач і нічога лішняга

Адкрывайце толькі тую службу, якая патрэбна разгортванню. Знаёмы 1433 — гэта порт стандартнага экзэмпляра, а не ўніверсальная канстанта.

Get-NetTCPConnection -State Listen -LocalPort 1433

Імянныя экзэмпляры часта слухаюць дынамічны порт, а SQL Server Browser адказвае на выяўленне праз UDP 1434, і гэтая залежнасць — асобная ўразлівасць, якую трэба абгрунтаваць. Фіксацыя пэўнага порта для экзэмпляра прыбірае патрэбу ў Browser і робіць правілы міжсеткавага экрана стабільнымі. Захавайце праверкі шыфравання і сертыфікатаў, якія кліент ужо выконвае, замест таго каб адключаць іх дзеля праходжання тэсту. Затым выдайце ролі базы даных для нагрузкі, а не дадавайце ўсю групу VPN у ролю сервера.

Дакажыце дазволены шлях і забаронены

Адкрыйце новы сеанс як звычайны дапушчаны карыстальнік і пацвердзіце ідэнтычнасць сервера, базу даных і патрэбную аперацыю. Затым пацвердзіце выключэнне: крыніца або ўліковы запіс па-за палітыкай павінны не прайсці той жа тэст. Для канструкцыі з працоўнай станцыяй праверце, што ноўтбук не можа абысці мяжу, дабраўшыся да базы даных напрамую. Для прамога доступу праверце, што маршрут і правіла крыніцы дагэтуль дзейнічаюць пасля перападлучэння.

Запішыце, дзе працаваў кліент, якую крыніцу назірала база даных і якое правіла гэта дазволіла. Гэта тыя доказы, якія запатрабуе наступны агляд.