Pa gyfeiriad mae mur tân cwmwl yn ei weld ar ôl i’r VPN fynd ymlaen
Mae twnnel llawn yn newid y cyfeiriad ffynhonnell y mae eich cronfa ddata yn ei weld. Symudwch y rhestr ganiatáu, y llwybr preifat neu’r twnnel hollt, nid y cymhwyster.
Cronfa ddata sy’n gweithio cyn i’r VPN gysylltu ac yn methu ar ei hôl yn anaml yw problem gymhwyster. Mae muriau tân cwmwl yn cyfateb cyfeiriadau ffynhonnell, ac mae twnnel llawn yn disodli’r un yr oeddent yn ei gyfateb. Y bwlch rhwng yr hyn yr ydych yn meddwl y mae eich gliniadur yn ei anfon a’r hyn y mae’r gweinydd yn ei dderbyn yw’r nam cyfan, ac mae’n fesuradwy mewn un cam.
Beth ddaw’r cyfeiriad ffynhonnell yn
Mewn twnnel llawn, mae pob pecyn yn gadael drwy’r porth VPN, felly mae’r gweinydd yn gweld cyfeiriad allan y porth yn hytrach na’ch cysylltiad cartref. Os oes dirprwy ymlaen ar y llwybr, ei gyfeiriad ef sy’n cyrraedd. Mae’r ddau yn ffynonellau dilys, ac nid yw’r naill na’r llall yn gyfeiriad yn eich rheol wreiddiol.
Mae rheolau mur tân Azure SQL ar lefel gweinydd ac ar lefel cronfa ddata yn cyfateb cyfeiriad y cleient sy’n cyrraedd y gweinydd rhesymegol, sef y cyfeiriad allan ar ôl twnnel llawn. Mae grŵp diogelwch AWS sy’n caniatáu un cyfeiriad yn ymddwyn yr un ffordd. Mae’r pecyn yn cael ei ollwng cyn dilysu, felly mae’r gwall a gewch yn edrych fel methiant rhwydwaith yn hytrach na phroblem caniatadau. Dyna’n union pam mae pobl yn dechrau ailosod cyfrineiriau.
Lle mae’r rhestr ganiatáu yn cael ei phenderfynu
Darllenwch y rheol sy’n cyfateb i’r llwybr sy’n methu, nid y rheol yr ydych yn cofio ei chreu. Nodwch ei chwmpas, ei phorth, ei phrotocol ac a yw’n cael ei gwerthuso cyn unrhyw wiriad hunaniaeth.
Yna penderfynwch pa haen sydd â’r hawl gyfreithlon i’r penderfyniad. Mae rheol cyfeiriad yn ateb o ble mae traffig yn dod. Mae pwynt diwedd preifat yn ateb a yw’r gwasanaeth yn hygyrch dros lwybr preifat o gwbl. Mae eithriad twnnel hollt yn ateb pa gyrchfannau sy’n osgoi’r twnnel. Nid ydynt yn gyfnewidiol, ac mae pob un yn methu’n wahanol pan fydd y twnnel yn newid.
Tri thrws, tair haen
Mae pob opsiwn isod yn trwsio’r llif am reswm gwahanol, ac mae dewis yr un anghywir yn cynhyrchu cysylltiad sy’n gweithio tan y newid porth nesaf.
| Repair | Layer it changes | What it does not fix |
|---|---|---|
| Add the egress address to the rule | Source address matching | Nothing about routing, and it breaks when the egress moves |
| Use a private endpoint | Whether the service is reached privately | A client that still resolves the public name |
| Add a split-tunnel exception | Which flows bypass the tunnel | An expired credential or a wrong password |
Ychwanegu’r cyfeiriad allan yw’r newid lleiaf a’r mwyaf bregus, oherwydd mae porth newydd neu ranbarth gwahanol yn ei ddirymu’n dawel. Dogfennwch y cyfeiriad wrth ymyl diffiniad y twnnel fel bod y ddau yn symud gyda’i gilydd. Mae ystod llydan dros dro yn ddiagnosis, nid yn drws; gadael ynddo yw sut y mae gwasanaethau mewnol yn dod i ben yn agored.
Pam na all platfform a reolir ymuno â’r twnnel
Mae platfformau cymhwysiad fel Heroku, AppHarbor neu CloudBees yn rhedeg eich cod mewn amgylchedd heb ddyfais tun neu tap a heb fraint i greu un. Eu model mewnol yw HTTP yn hytrach na soced gwrando mympwyol. Mae pecyn adeiladu sy’n cludo deuaidd VPN yn dal heb le i roi’r rhyngwyneb. Y patrymau gweithredol yw cyfeiriad allan statig y gall y gronfa ddata ei ganiatáu, cynnyrch cysylltiad preifat y mae’r platfform yn ei gynnig, neu ddirprwy mewn DMZ y cyrchir ato drwy HTTPS.
Mae’r dirprwy hwnnw yn llwybr mynediad sydd â’i ddilysu a’i gofnodi ei hun. Nid yw’n gwneud y platfform yn aelod o’ch VPN, ac mae ei ddisgrifio felly yn cynhyrchu rheolau na all neb eu harchwilio.
Gwiriwch o’r cleient a fethodd
Ailgysylltwch ac ailadroddwch lwybr union y cleient. Gwiriwch y cyfeiriad ffynhonnell y mae’r gwasanaeth yn ei gofnodi, y llwybr y mae’r cleient yn ei ddewis ar gyfer enw’r gronfa ddata, a chanlyniad yr ymholiad gwirioneddol, yn y drefn honno. Mae prawf o’r porth yn profi bod y porth yn gweithio, nad oedd byth yn amheuaeth. Os yw’r cysylltiad nawr yn dilysu ac mae’r ymholiad yn dal i fethu, y broblem sy’n weddill yw caniatâd y gronfa ddata.
Adolygwch y rheolau hyn pryd bynnag y bydd y twnnel yn newid. Mae porth a ddisodlwyd neu ystod allan newydd yn torri’r llwybr heb unrhyw newid yng nghyfluniad y cymhwysiad o gwbl.