Koju adresu vidi cloud firewall kada je VPN uključen
Puni tunel mijenja izvornu adresu koju vaša baza podataka vidi. Premjestite listu dozvola, privatnu putanju ili podijeljeni tunel, a ne vjerodajnicu.
Baza podataka koja radi prije nego se VPN poveže, a pada poslije, rijetko je problem s vjerodajnicama. Cloud firewall-i upoređuju izvorne adrese, a puni tunel zamjenjuje onu s kojom su ih upoređivali. Razlika između onoga što mislite da vaš laptop šalje i onoga što server prima jest cijeli bug i može se izmjeriti u jednom koraku.
Šta postaje izvorna adresa
U punom tunelu svaki paket izlazi kroz VPN gateway, pa server vidi izlaznu adresu gatewaya, a ne vašu kućnu vezu. Ako je na putu forward proxy, stiže njegova adresa. Obje su legitimni izvori i nijedna nije adresa iz vašeg prvobitnog pravila.
Azure SQL pravila firewalla na razini servera i na razini baze podataka upoređuju adresu klijenta koja stiže do logičkog servera, a nakon punog tunela to je izlazna adresa. AWS sigurnosna grupa koja dozvoljava jednu adresu ponaša se isto. Paket se odbacuje prije autentikacije, pa greška koju dobijete izgleda kao mrežni kvar, a ne kao problem s dozvolama. Upravo zato ljudi počinju resetovati lozinke.
Gdje se odlučuje lista dozvola
Pročitajte pravilo koje odgovara putanji koja pada, a ne pravilo koje se sjećate da ste napravili. Zabilježite njegov obim, port, protokol i to da li se procjenjuje prije bilo kakve provjere identiteta.
Zatim odlučite koji sloj legitimno posjeduje tu odluku. Pravilo adrese odgovara odakle saobraćaj dolazi. Privatna krajnja tačka odgovara je li usluga uopće dostupna preko privatne putanje. Izuzeće za podijeljeni tunel odgovara koje destinacije zaobilaze tunel. Ona nisu zamjenjiva i svako pada drugačije kada se tunel promijeni.
Tri popravke, tri sloja
Svaka opcija ispod popravlja tok iz drugog razloga, a pogrešan izbor daje vezu koja radi do sljedeće promjene gatewaya.
| Repair | Layer it changes | What it does not fix |
|---|---|---|
| Add the egress address to the rule | Source address matching | Nothing about routing, and it breaks when the egress moves |
| Use a private endpoint | Whether the service is reached privately | A client that still resolves the public name |
| Add a split-tunnel exception | Which flows bypass the tunnel | An expired credential or a wrong password |
Dodavanje izlazne adrese najmanja je promjena i najkrhkija, jer novi gateway ili druga regija tiho je poništava. Dokumentirajte adresu uz definiciju tunela kako bi se obje kretale zajedno. Privremeni široki raspon je dijagnostika, a ne popravka; ostaviti ga na mjestu je način na koji interne usluge završe izložene.
Zašto se upravljana platforma ne može pridružiti tunelu
Aplikacijske platforme kao što su Heroku, AppHarbor ili CloudBees pokreću vaš kod u okruženju bez tun ili tap uređaja i bez privilegija da ga stvore. Njihov model ulaza je HTTP, a ne proizvoljni socket koji sluša. Buildpack koji isporučuje VPN binarnu datoteku i dalje nema gdje staviti interfejs. Izvedivi obrasci su statična izlazna adresa koju baza podataka može dozvoliti, proizvod za privatnu vezu koji platforma nudi ili proxy u DMZ-u do kojeg se dolazi preko HTTPS-a.
Taj proxy je put pristupa s vlastitom autentikacijom i zapisivanjem. On ne čini platformu članom vašeg VPN-a, a takav opis stvara pravila koja niko ne može revidirati.
Provjerite s klijenta koji je pao
Ponovo se povežite i ponovite tačnu putanju klijenta. Provjerite izvornu adresu koju usluga bilježi, rutu koju klijent bira za ime baze podataka i rezultat stvarnog upita, tim redom. Test s gatewaya dokazuje da gateway radi, što nikada nije bilo sporno. Ako se veza sada autentificira, a upit i dalje pada, preostali problem je dozvola u bazi podataka.
Pregledajte ova pravila kad god se tunel promijeni. Zamijenjen gateway ili novi raspon izlaznih adresa prekida putanju bez ikakve promjene u konfiguraciji aplikacije.