Komerční VPN blokuje port 5432? Porovnejte své možnosti

Aplikace mluvila se svou databází z kanceláře každý den. Pak někdo zapnul komerčního klienta VPN na stejném notebooku a spojení se začalo po handshake resetovat. V aplikaci se nic nezměnilo, tunel hlásí, že je v pořádku, a firewall, který ovládáte, nemá žádné blokovací pravidlo. Co se změnilo, je výstupní cesta: servery poskytovatele jsou sdílené koncové body s vysokým objemem a poskytovatelé filtrují odchozí porty, aby omezili zneužití. Databázové a poštovní odesílací porty dostávají většinu z toho, protože právě tyto porty přitahují skenování a spam z anonymního fondu adres.

Pětiminutový test, který oddělí filtrování od všeho ostatního

Ze stejného stroje otestujte jeden port, který musí být otevřený, a port, který selhává, na stejném hostiteli, s tunelem zapnutým a potom vypnutým. Použijte stejný příkaz v obou případech, aby jedinou proměnnou byl tunel:

Test-NetConnection db.example.com -Port 443
Test-NetConnection db.example.com -Port 5432
nc -vz -w3 db.example.com 5432

Čtyři výsledky pokrývají téměř každý případ. Pokud 443 funguje a 5432 selhává jen se zapnutým tunelem, díváte se na filtrování portů na výstupní cestě. Pokud oba selhávají se zapnutým tunelem a oba fungují bez něj, problém je ve směrování nebo DNS, ne v politice portů. Pokud se oba porty připojí, ale aplikace stále selhává, chyba je v autentizaci nebo TLS, ne v dostupnosti. A pokud selhává jen jedno umístění serveru poskytovatele, jde o politiku pro konkrétní server, takže před jakoukoli změnou konfigurace zkuste jiné umístění.

Možnost jedna: rozdělený tunel pro podsíť databáze

Pokud notebook potřebuje komerční VPN jen pro jiné účely, vylučte rozsah adres databáze z tunelu, aby provoz nikdy nevstoupil do sdíleného výstupu. To je nejčistší možnost, když se obě cesty skutečně nemusí potkat, a nestojí nic než pravidlo směrování, které můžete zdokumentovat. Kompromis je v tom, že rozdělený tunel zavádí druhou plochu politiky: to, co je z tunelu vyloučeno, musí být záměrné, ne vedlejší účinek podsítě, kterou někdo přidal později.

Přestane fungovat ve chvíli, kdy databáze žije uvnitř sítě, do které má VPN dosáhnout, takže to zkontrolujte, než se pro to rozhodnete.

Možnost dva: vlastní koncový bod, vlastní výstup

Provozování malého koncového bodu VPN na VPS vám dává kontrolu nad výstupní politikou a nezapojuje žádný sdílený fond. To je možnost, kterou stojí za to poctivě porovnat s komerčním klientem: získáte předvídatelnou zdrojovou adresu a ztratíte globální stopu a pohodlí poskytovatele. Pro tým, který potřebuje databázové a poštovní porty celý den, kompromis obvykle vychází ve prospěch vlastnictví koncového bodu, protože způsobem selhání se stane vaše vlastní chybná konfigurace, ne cizí politika proti zneužití.

Porovnejte obě možnosti podle stability zdrojové adresy, podle toho, kdo může číst váš provoz, a podle toho, co se stane v den, kdy poskytovatel koncového bodu změní své vlastní filtrování.

Možnost tři: vyjměte notebook z cesty

Úloha CI, naplánovaný kontejner nebo bastion hostitel uvnitř povolené sítě nezávisí na stavu tunelu člověka. Dostanete se k databázi tunelem SSH z hostitele, který už je povolen, a notebook nikdy nemluví s portem přímo. To je možnost, která škáluje, když na stejné omezení narazí několik lidí, a je to také ta, která problém odstraňuje, místo aby ho obcházela.

Vyžaduje více práce předem než pravidlo rozděleného tunelu a nepomůže tomu jednomu člověku, který právě teď potřebuje interaktivní relaci.

Proč je přidání adresy poskytovatele na seznam povolených špatné srovnání

Přidání výstupní adresy poskytovatele na databázový seznam povolených funguje a také uděluje přístup každému dalšímu předplatiteli, který tuto adresu v tu chvíli sdílí. U repliky pouze pro čtení za úzce přiděleným účtem aplikace může být expozice na jeden den únosná. U čehokoli zapisovatelného to není kompromis, který by stál za pojmenování, a rotující výstupní adresy to zhoršují: každá změna serveru pravidlo rozbije a údržba zve široké položky CIDR, které smysl seznamu povolených ničí.

Vyhrazené nebo statické adresy, tam kde je poskytovatel prodává, jsou jediná verze tohoto, která škáluje. Připněte seznam povolených k adrese, která je jen vaše, nebo ho nepřipínejte vůbec.

Ať už zvolíte cokoli, zapište cestu a důvod. Další člověk narazí na stejné resetované spojení a začne vinit aplikaci.