Ydy VPN masnachol yn blocio porth 5432? Cymharwch eich opsiynau

Roedd y rhaglen yn siarad â'i chronfa ddata o'r swyddfa bob dydd. Yna fe drodd rhywun y client VPN masnachol ymlaen ar yr un gliniadur, a dechreuodd y cysylltiad ailosod ar ôl yr handshake. Ni newidiodd dim yn y rhaglen, mae'r twnnel yn adrodd ei fod yn iach, ac nid oes gan y firewall rydych chi'n ei reoli unrhyw reol flocio. Yr hyn a newidiodd yw'r llwybr allanfa: mae gweinyddwyr darparwr yn bwyntiau terfynol a rennir â llawer o draffig, ac mae darparwyr yn hidlo pyrth allan i leihau camddefnydd. Pyrth cronfa ddata ac anfon post sy'n cymryd y rhan fwyaf, oherwydd y pyrth hynny sy'n denu sganio a sbam o gronfa gyfeiriadau anhysbys.

Y prawf pum munud sy'n gwahanu hidlo oddi wrth bopeth arall

O'r un peiriant, archwiliwch un porth y mae'n rhaid iddi fod ar agor a'r borth sy'n methu, ar yr un gwesteiwr, gyda'r twnnel ymlaen ac yna i lawr. Defnyddiwch yr un gorchymyn y ddwy waith fel mai'r twnnel yw'r unig newidyn:

Test-NetConnection db.example.com -Port 443
Test-NetConnection db.example.com -Port 5432
nc -vz -w3 db.example.com 5432

Mae pedwar canlyniad yn cwmpasu bron pob achos. Os yw 443 yn gweithio ac 5432 yn methu dim ond gyda'r twnnel ymlaen, rydych chi'n edrych ar hidlo pyrth ar y llwybr allanfa. Os yw'r ddau yn methu gyda'r twnnel ymlaen ac yn gweithio hebddi, y broblem yw llwybro neu DNS, nid polisi pyrth. Os yw'r ddau borth yn cysylltu ond mae'r rhaglen yn dal i fethu, y bai yw dilysu neu TLS, nid cyrhaeddedd. Ac os mai dim ond un lleoliad gweinydd darparwr sy'n methu, polisi fesul gweinydd ydyw, felly rhowch gynnig ar leoliad arall cyn cyffwrdd ag unrhyw ffurfweddiad.

Opsiwn un: twnnel hollt ar gyfer is-rwydwaith y gronfa ddata

Os mai dim ond at ddibenion eraill y mae'r gliniadur angen y VPN masnachol, eithriwch ystod cyfeiriadau'r gronfa ddata o'r twnnel fel nad yw'r traffig byth yn mynd i mewn i'r allanfa a rennir. Dyma'r opsiwn glanaf pan nad oes gwir angen i'r ddau lwybr gyfarfod, ac nid yw'n costio dim y tu hwnt i reol llwybro y gallwch ei dogfennu. Y fasnach yw bod twnnel hollt yn cyflwyno ail arwyneb polisi: rhaid i'r hyn a eithrir o'r twnnel fod yn fwriadol, nid yn sgil-effaith is-rwydwaith a ychwanegwyd yn ddiweddarach.

Mae'n stopio gweithio ar yr eiliad y mae'r gronfa ddata yn byw o fewn y rhwydwaith y mae'r VPN i fod i'w gyrraedd, felly gwiriwch hynny cyn ymrwymo iddo.

Opsiwn dau: eich pwynt terfynol eich hun, eich allanfa eich hun

Mae rhedeg pwynt terfynol VPN bach ar VPS yn rhoi rheolaeth y polisi allanfa i chi, ac nid oes unrhyw gronfa a rennir yn rhan ohono. Dyma'r opsiwn sy'n werth ei gymharu'n onest â'r cleient masnachol: rydych chi'n ennill cyfeiriad ffynhonnell rhagweladwy ac yn colli ôl troed byd-eang a chyfleustra'r darparwr. I dîm sydd angen pyrth cronfa ddata a phost drwy'r dydd, mae'r fasnach fel arfer o blaid meddiannu'r pwynt terfynol, oherwydd mai eich camffurfweddiad chi eich hun fydd y modd methu, nid polisi camddefnydd rhywun arall.

Cymharwch y ddau ar sefydlogrwydd cyfeiriad ffynhonnell, pwy all ddarllen eich traffig, a'r hyn sy'n digwydd ar y diwrnod y bydd darparwr y pwynt terfynol yn newid ei hidlydd ei hun.

Opsiwn tri: tynnwch y gliniadur o'r llwybr

Nid yw tasg CI, cynhwysydd wedi'i drefnu, neu westeiwr bastiwn y tu mewn i'r rhwydwaith a ganiatawyd yn dibynnu ar gyflwr twnnel dynol. Cyrhaeddwch y gronfa ddata trwy dwnnel SSH o westeiwr sydd eisoes wedi'i ganiatáu, ac nid yw'r gliniadur byth yn siarad â'r borth yn uniongyrchol. Dyma'r opsiwn sy'n graddio pan fydd sawl person yn taro'r un cyfyngiad, a dyna hefyd yr un sy'n dileu'r broblem yn lle ei hosgoi.

Mae angen mwy o waith ymlaen llaw nac mae rheol twnnel hollt, ac nid yw'n helpu'r un person sydd angen sesiwn ryngweithiol ar hyn o bryd.

Pam mai ychwanegu cyfeiriad y darparwr at y rhestr a ganiateir yw'r gymhariaeth anghywir

Mae ychwanegu cyfeiriad allanfa'r darparwr at restr a ganiateir cronfa ddata yn gweithio, ac mae hefyd yn rhoi mynediad i bob tanysgrifiwr arall sy'n rhannu'r cyfeiriad hwnnw ar y foment honno. Ar gyfer replica darllen-yn-unig y tu ôl i gyfrif rhaglen a roddwyd yn gul, gallai'r amlygiad fod yn oddefadwy am ddiwrnod. Ar gyfer unrhyw beth ysgrifadwy nid yw'n fasnach sy'n werth ei henwi, ac mae cyfeiriadau allanfa cylchdroi yn ei waethygu: mae pob newid gweinydd yn torri'r rheol, ac mae'r cynnal a chadw yn gwahodd cofnodion CIDR llydan sy'n trechu pwrpas rhestr a ganiateir.

Cyfeiriadau pwrpasol neu statig, lle mae'r darparwr yn eu gwerthu, yw'r unig fersiwn o hyn sy'n graddio. Allweddwch y rhestr a ganiateir i gyfeiriad sy'n eiddo i chi'n unig, neu peidiwch â'i hallweddu o gwbl.

Beth bynnag a ddewiswch, ysgrifennwch y llwybr a'r rheswm. Bydd y person nesaf yn cyfarfod yr un cysylltiad sy'n ailosod ac yn dechrau beio'r rhaglen.