Quina adreça veu un tallafoc de núvol quan la VPN està activada
Un túnel complet canvia l’adreça d’origen que veu la vostra base de dades. Moveu la llista d’adreces permeses, el camí privat o el túnel dividit, no la credencial.
Una base de dades que funciona abans que es connecti la VPN i falla després poques vegades és un problema de credencials. Els tallafocs de núvol comparen adreces d’origen, i un túnel complet substitueix la que comparaven. La diferència entre el que creieu que envia el vostre portàtil i el que rep el servidor és tot el defecte, i es pot mesurar en un sol pas.
En què es converteix l’adreça d’origen
Amb un túnel complet, cada paquet surt per la passarel·la VPN, de manera que el servidor veu l’adreça de sortida de la passarel·la i no la vostra connexió de casa. Si hi ha un servidor intermediari directe al camí, el que arriba és la seva adreça. Totes dues són fonts legítimes i cap de les dues no és l’adreça de la vostra regla original.
Les regles de tallafoc d’Azure SQL a nivell de servidor i de base de dades comparen l’adreça del client que arriba al servidor lògic, que després d’un túnel complet és l’adreça de sortida. Un grup de seguretat d’AWS que permet una sola adreça es comporta igual. El paquet es descarta abans de l’autenticació, així que l’error que rebeu sembla una fallada de xarxa i no un problema de permisos. És exactament per això que la gent comença a restablir contrasenyes.
On es decideix la llista d’adreces permeses
Llegiu la regla que correspon al camí que falla, no la regla que recordeu haver creat. Fixeu-vos en el seu abast, el seu port, el seu protocol i si s’avalua abans de qualsevol comprovació d’identitat.
Després decidiu quina capa posseeix legítimament la decisió. Una regla d’adreça respon d’on ve el trànsit. Un punt final privat respon si el servei és accessible per un camí privat. Una excepció de túnel dividit respon quines destinacions eviten el túnel. No són intercanviables i cadascuna falla de manera diferent quan el túnel canvia.
Tres reparacions, tres capes
Cada opció de sota arregla el flux per un motiu diferent, i triar la incorrecta produeix una connexió que funciona fins al proper canvi de passarel·la.
| Repair | Layer it changes | What it does not fix |
|---|---|---|
| Add the egress address to the rule | Source address matching | Nothing about routing, and it breaks when the egress moves |
| Use a private endpoint | Whether the service is reached privately | A client that still resolves the public name |
| Add a split-tunnel exception | Which flows bypass the tunnel | An expired credential or a wrong password |
Afegir l’adreça de sortida és el canvi més petit i el més fràgil, perquè una passarel·la nova o una regió diferent el invaliden en silenci. Documenteu l’adreça al costat de la definició del túnel perquè les dues es moguin juntes. Un rang ampli temporal és un diagnòstic, no una reparació; deixar-lo al seu lloc és com els serveis interns acaben exposats.
Per què una plataforma gestionada no pot unir-se al túnel
Plataformes d’aplicacions com Heroku, AppHarbor o CloudBees executen el vostre codi en un entorn sense dispositiu tun o tap i sense privilegis per crear-ne un. El seu model d’entrada és HTTP i no un sòcol d’escolta arbitrari. Un buildpack que inclou un binari de VPN encara no té on posar la interfície. Els patrons viables són una adreça de sortida estàtica que la base de dades pugui permetre, un producte de connexió privada que ofereixi la plataforma o un servidor intermediari en una DMZ al qual s’arribi per HTTPS.
Aquest servidor intermediari és un camí d’accés amb la seva pròpia autenticació i registre. No converteix la plataforma en membre de la vostra VPN, i descriure-ho així produeix regles que ningú no pot auditar.
Verifiqueu des del client que ha fallat
Torneu a connectar-vos i repetiu el camí exacte del client. Comproveu l’adreça d’origen que registra el servei, la ruta que tria el client per al nom de la base de dades i el resultat de la consulta real, en aquest ordre. Una prova des de la passarel·la demostra que la passarel·la funciona, cosa que mai no s’havia posat en dubte. Si la connexió ara s’autentica i la consulta encara falla, el problema restant és el permís de la base de dades.
Reviseu aquestes regles sempre que el túnel canviï. Una passarel·la substituïda o un rang de sortida nou trenquen el camí sense cap canvi a la configuració de l’aplicació.