Μπλοκάρει ένα εμπορικό VPN τη θύρα 5432; Συγκρίνετε τις επιλογές σας

Η εφαρμογή μιλούσε με τη βάση δεδομένων της από το γραφείο κάθε μέρα. Μετά κάποιος ενεργοποίησε τον εμπορικό πελάτη VPN στον ίδιο φορητό υπολογιστή και η σύνδεση άρχισε να επανέρχεται μετά τη χειραψία. Τίποτα στην εφαρμογή δεν άλλαξε, η σήραγγα αναφέρει ότι είναι υγιής και το τείχος προστασίας που ελέγχετε δεν έχει κανόνα αποκλεισμού. Αυτό που άλλαξε είναι η διαδρομή εξόδου: οι διακομιστές του παρόχου είναι κοινόχρηστα τελικά σημεία υψηλού όγκου και οι πάροχοι φιλτράρουν τις εξερχόμενες θύρες για να μειώσουν την κατάχρηση. Οι θύρες βάσεων δεδομένων και αποστολής αλληλογραφίας δέχονται το μεγαλύτερο μέρος, επειδή αυτές είναι οι θύρες που προσελκύουν σάρωση και ανεπιθύμητη αλληλογραφία από μια ανώνυμη δεξαμενή διευθύνσεων.

Το τεστ των πέντε λεπτών που ξεχωρίζει το φιλτράρισμα από όλα τα άλλα

Από το ίδιο μηχάνημα, ελέγξτε μια θύρα που πρέπει να είναι ανοιχτή και τη θύρα που αποτυγχάνει, στον ίδιο κεντρικό υπολογιστή, με τη σήραγγα ενεργή και μετά ανενεργή. Χρησιμοποιήστε την ίδια εντολή και τις δύο φορές ώστε η μόνη μεταβλητή να είναι η σήραγγα:

Test-NetConnection db.example.com -Port 443
Test-NetConnection db.example.com -Port 5432
nc -vz -w3 db.example.com 5432

Τέσσερα αποτελέσματα καλύπτουν σχεδόν κάθε περίπτωση. Αν η 443 λειτουργεί και η 5432 αποτυγχάνει μόνο με τη σήραγγα ενεργή, βλέπετε φιλτράρισμα θυρών στη διαδρομή εξόδου. Αν και οι δύο αποτυγχάνουν με τη σήραγγα ενεργή και και οι δύο λειτουργούν χωρίς αυτήν, το πρόβλημα είναι δρομολόγηση ή DNS, όχι πολιτική θυρών. Αν και οι δύο θύρες συνδέονται αλλά η εφαρμογή εξακολουθεί να αποτυγχάνει, το σφάλμα είναι έλεγχος ταυτότητας ή TLS, όχι προσβασιμότητα. Και αν αποτυγχάνει μόνο μία τοποθεσία διακομιστή του παρόχου, είναι πολιτική ανά διακομιστή, οπότε δοκιμάστε άλλη τοποθεσία πριν αγγίξετε οποιαδήποτε ρύθμιση.

Επιλογή πρώτη: διαχωρισμένη σήραγγα για το υποδίκτυο της βάσης δεδομένων

Αν ο φορητός χρειάζεται το εμπορικό VPN μόνο για άλλους σκοπούς, εξαιρέστε το εύρος διευθύνσεων της βάσης δεδομένων από τη σήραγγα ώστε η κίνηση να μην εισέρχεται καθόλου στην κοινόχρηστη έξοδο. Αυτή είναι η καθαρότερη επιλογή όταν οι δύο διαδρομές πραγματικά δεν χρειάζεται να συναντηθούν, και δεν κοστίζει τίποτα πέρα από έναν κανόνα δρομολόγησης που μπορείτε να τεκμηριώσετε. Το αντιστάθμισμα είναι ότι η διαχωρισμένη σήραγγα εισάγει μια δεύτερη επιφάνεια πολιτικής: ό,τι εξαιρείται από τη σήραγγα πρέπει να είναι σκόπιμο, όχι παρενέργεια ενός υποδικτύου που πρόσθεσε κάποιος αργότερα.

Σταματά να λειτουργεί τη στιγμή που η βάση δεδομένων βρίσκεται μέσα στο δίκτυο που υποτίθεται ότι φτάνει το VPN, οπότε ελέγξτε το πριν δεσμευτείτε.

Επιλογή δεύτερη: δικό σας τελικό σημείο, δική σας έξοδος

Η λειτουργία ενός μικρού τελικού σημείου VPN σε ένα VPS σας δίνει τον έλεγχο της πολιτικής εξόδου και δεν εμπλέκεται κοινόχρηστη δεξαμενή. Αυτή είναι η επιλογή που αξίζει ειλικρινή σύγκριση με τον εμπορικό πελάτη: κερδίζετε μια προβλέψιμη διεύθυνση προέλευσης και χάνετε το παγκόσμιο αποτύπωμα και την ευκολία του παρόχου. Για μια ομάδα που χρειάζεται θύρες βάσης δεδομένων και αλληλογραφίας όλη μέρα, το αντιστάθμισμα συνήθως κλίνει υπέρ της ιδιοκτησίας του τελικού σημείου, επειδή ο τρόπος αποτυχίας γίνεται η δική σας εσφαλμένη ρύθμιση και όχι η πολιτική κατάχρησης κάποιου άλλου.

Συγκρίνετε τα δύο ως προς τη σταθερότητα της διεύθυνσης προέλευσης, το ποιος μπορεί να διαβάσει την κίνησή σας και το τι συμβαίνει την ημέρα που ο πάροχος του τελικού σημείου αλλάζει το δικό του φιλτράρισμα.

Επιλογή τρίτη: βγάλτε τον φορητό από τη διαδρομή

Μια εργασία CI, ένα προγραμματισμένο κοντέινερ ή ένας κεντρικός υπολογιστής προπυργίου μέσα στο επιτρεπόμενο δίκτυο δεν εξαρτάται από την κατάσταση σήραγγας ενός ανθρώπου. Φτάστε στη βάση δεδομένων μέσω σήραγγας SSH από κεντρικό υπολογιστή που είναι ήδη επιτρεπόμενος, και ο φορητός δεν μιλά ποτέ απευθείας στη θύρα. Αυτή είναι η επιλογή που κλιμακώνεται όταν πολλά άτομα χτυπούν τον ίδιο περιορισμό, και είναι επίσης αυτή που αφαιρεί το πρόβλημα αντί να το παρακάμπτει.

Απαιτεί περισσότερη δουλειά εκ των προτέρων από έναν κανόνα διαχωρισμένης σήραγγας και δεν βοηθά το ένα άτομο που χρειάζεται τώρα μια διαδραστική συνεδρία.

Γιατί το να βάλετε τη διεύθυνση του παρόχου σε λίστα επιτρεπόμενων είναι η λάθος σύγκριση

Η προσθήκη της διεύθυνσης εξόδου του παρόχου σε λίστα επιτρεπόμενων βάσης δεδομένων λειτουργεί και επίσης παρέχει πρόσβαση σε κάθε άλλο συνδρομητή που μοιράζεται αυτή τη διεύθυνση εκείνη τη στιγμή. Για ένα αντίγραφο μόνο για ανάγνωση πίσω από έναν στενά εκχωρημένο λογαριασμό εφαρμογής, η έκθεση μπορεί να είναι ανεκτή για μία ημέρα. Για οτιδήποτε εγγράψιμο δεν είναι αντιστάθμισμα που αξίζει να ονομαστεί, και οι περιστρεφόμενες διευθύνσεις εξόδου το χειροτερεύουν: κάθε αλλαγή διακομιστή σπάει τον κανόνα και η συντήρηση προσκαλεί ευρείες καταχωρίσεις CIDR που ακυρώνουν τον σκοπό μιας λίστας επιτρεπόμενων.

Οι αποκλειστικές ή στατικές διευθύνσεις, όπου ο πάροχος τις πουλά, είναι η μόνη εκδοχή αυτού που κλιμακώνεται. Κλειδώστε τη λίστα επιτρεπόμενων σε μια διεύθυνση που είναι μόνο δική σας, ή μην την κλειδώσετε καθόλου.

Ό,τι κι αν επιλέξετε, γράψτε τη διαδρομή και τον λόγο. Το επόμενο άτομο θα συναντήσει την ίδια σύνδεση που επανέρχεται και θα αρχίσει να κατηγορεί την εφαρμογή.