Komercijalni VPN blokira port 5432? Uporedite svoje opcije

Aplikacija je svakog dana razgovarala sa svojom bazom podataka iz ureda. Zatim je neko uključio komercijalni VPN klijent na istom laptopu i veza je počela da se resetuje nakon rukovanja. Ništa u aplikaciji nije promijenjeno, tunel prijavljuje da je zdrav, a firewall koji kontrolišete nema pravilo blokiranja. Ono što se promijenilo je izlazna putanja: serveri provajdera su dijeljene krajnje tačke visokog obima, a provajderi filtriraju odlazne portove da smanje zloupotrebu. Portovi baza podataka i slanja pošte dobijaju najveći dio toga, jer su to portovi koji privlače skeniranje i spam iz anonimnog pula adresa.

Test od pet minuta koji razdvaja filtriranje od svega ostalog

Sa iste mašine provjerite jedan port koji mora biti otvoren i port koji ne uspijeva, na istom hostu, sa uključenim pa isključenim tunelom. Koristite istu komandu u oba slučaja kako bi jedina promjenljiva bio tunel:

Test-NetConnection db.example.com -Port 443
Test-NetConnection db.example.com -Port 5432
nc -vz -w3 db.example.com 5432

Četiri ishoda pokrivaju skoro svaki slučaj. Ako 443 radi, a 5432 ne uspijeva samo sa uključenim tunelom, gledate filtriranje portova na izlaznoj putanji. Ako oba ne uspijevaju sa tunelom i oba rade bez njega, problem je u rutiranju ili DNS-u, a ne u politici portova. Ako se oba porta povežu ali aplikacija i dalje ne uspijeva, greška je u autentifikaciji ili TLS-u, ne u dostupnosti. A ako ne uspijeva samo jedna lokacija servera provajdera, to je politika po serveru, pa probajte drugu lokaciju prije nego što dirate bilo koju konfiguraciju.

Opcija jedan: split tunel za podmrežu baze podataka

Ako laptopu komercijalni VPN treba samo za druge svrhe, isključite raspon adresa baze podataka iz tunela tako da saobraćaj nikada ne uđe na dijeljeni izlaz. Ovo je najčistija opcija kada dvije putanje zaista ne treba da se sretnu, i ne košta ništa osim pravila rutiranja koje možete dokumentovati. Kompromis je u tome što split tunel uvodi drugu površinu politike: ono što je isključeno iz tunela mora biti namjerno, a ne nuspojava podmreže koju je neko dodao kasnije.

Prestaje raditi u trenutku kada baza podataka živi unutar mreže do koje VPN treba da stigne, pa to provjerite prije nego što se opredijelite.

Opcija dva: vaša krajnja tačka, vaš izlaz

Pokretanje male VPN krajnje tačke na VPS-u stavlja izlaznu politiku pod vašu kontrolu i ne uključuje dijeljeni pul. To je opcija koju vrijedi iskreno uporediti sa komercijalnim klijentom: dobijate predvidljivu izvornu adresu i gubite globalni otisak i udobnost provajdera. Za tim kojem su portovi baze podataka i pošte potrebni cijeli dan, kompromis obično ide u korist posjedovanja krajnje tačke, jer način neuspjeha postaje vaša vlastita pogrešna konfiguracija, a ne tuđa politika zloupotrebe.

Uporedite ih po stabilnosti izvorne adrese, po tome ko može čitati vaš saobraćaj i po tome šta se dešava na dan kada provajder krajnje tačke promijeni vlastito filtriranje.

Opcija tri: izmjestite laptop iz putanje

CI posao, zakazani kontejner ili bastion host unutar dozvoljene mreže ne zavisi od tunelskog stanja čovjeka. Dođite do baze podataka SSH tunelom sa hosta koji je već dozvoljen i laptop nikada ne razgovara direktno s portom. Ovo je opcija koja skalira kada više ljudi udari u isto ograničenje, a i ona koja uklanja problem umjesto da ga obilazi.

Zahtijeva više rada unaprijed od pravila split tunela i ne pomaže onoj jednoj osobi kojoj je interaktivna sesija potrebna sada.

Zašto je dodavanje adrese provajdera na listu dozvoljenih pogrešno poređenje

Dodavanje izlazne adrese provajdera na listu dozvoljenih za bazu podataka funkcioniše i takođe daje pristup svakom drugom pretplatniku koji u tom trenutku dijeli tu adresu. Za repliku samo za čitanje iza usko dodijeljenog računa aplikacije, izloženost bi mogla biti podnošljiva jedan dan. Za sve što je upisivo to nije kompromis vrijedan imena, a rotirajuće izlazne adrese pogoršavaju stvari: svaka promjena servera krši pravilo, a održavanje poziva široke CIDR unose koji poništavaju svrhu liste dozvoljenih.

Namjenske ili statične adrese, tamo gdje ih provajder prodaje, jedina su verzija ovoga koja skalira. Vežite listu dozvoljenih za adresu koja je samo vaša, ili je ne vežite uopšte.

Šta god odabrali, zapišite putanju i razlog. Sljedeća osoba će sresti istu vezu koja se resetuje i počeće kriviti aplikaciju.