Ποια διεύθυνση βλέπει ένα τείχος προστασίας cloud όταν το VPN είναι ενεργό
Μια πλήρης σήραγγα αλλάζει τη διεύθυνση προέλευσης που βλέπει η βάση δεδομένων σας. Μετακινήστε τη λίστα επιτρεπόμενων, την ιδιωτική διαδρομή ή τη διαχωρισμένη σήραγγα, όχι τα διαπιστευτήρια.
Μια βάση δεδομένων που λειτουργεί πριν συνδεθεί το VPN και αποτυγχάνει μετά σπάνια είναι πρόβλημα διαπιστευτηρίων. Τα τείχη προστασίας cloud αντιπαραβάλλουν διευθύνσεις προέλευσης, και μια πλήρης σήραγγα αντικαθιστά εκείνη με την οποία αντιπαραβάλλαν. Η διαφορά ανάμεσα σε αυτό που νομίζετε ότι στέλνει το φορητό σας και σε αυτό που λαμβάνει ο διακομιστής είναι ολόκληρο το σφάλμα, και μετριέται σε ένα βήμα.
Σε τι μετατρέπεται η διεύθυνση προέλευσης
Σε μια πλήρη σήραγγα, κάθε πακέτο φεύγει μέσω της πύλης VPN, οπότε ο διακομιστής βλέπει τη διεύθυνση εξόδου της πύλης και όχι τη σύνδεσή σας στο σπίτι. Αν υπάρχει διαμεσολαβητής προώθησης στη διαδρομή, φτάνει η δική του διεύθυνση. Και οι δύο είναι νόμιμες πηγές, και καμία δεν είναι η διεύθυνση στον αρχικό σας κανόνα.
Οι κανόνες τείχους προστασίας του Azure SQL σε επίπεδο διακομιστή και βάσης δεδομένων αντιπαραβάλλουν τη διεύθυνση του πελάτη που φτάνει στον λογικό διακομιστή, η οποία μετά από πλήρη σήραγγα είναι η διεύθυνση εξόδου. Μια ομάδα ασφαλείας AWS που επιτρέπει μία διεύθυνση συμπεριφέρεται με τον ίδιο τρόπο. Το πακέτο απορρίπτεται πριν από την ταυτοποίηση, οπότε το σφάλμα που παίρνετε πίσω μοιάζει με αστοχία δικτύου και όχι με πρόβλημα δικαιωμάτων. Ακριβώς γι’ αυτό οι άνθρωποι αρχίζουν να επαναφέρουν κωδικούς πρόσβασης.
Πού αποφασίζεται η λίστα επιτρεπόμενων
Διαβάστε τον κανόνα που ταιριάζει με τη διαδρομή που αποτυγχάνει, όχι τον κανόνα που θυμάστε ότι δημιουργήσατε. Σημειώστε το εύρος του, τη θύρα του, το πρωτόκολλό του και αν αξιολογείται πριν από οποιονδήποτε έλεγχο ταυτότητας.
Έπειτα αποφασίστε ποιο επίπεδο κατέχει νόμιμα την απόφαση. Ένας κανόνας διεύθυνσης απαντά από πού έρχεται η κίνηση. Ένα ιδιωτικό τελικό σημείο απαντά αν η υπηρεσία είναι προσβάσιμη καθόλου μέσω ιδιωτικής διαδρομής. Μια εξαίρεση διαχωρισμένης σήραγγας απαντά ποιοι προορισμοί παρακάμπτουν τη σήραγγα. Δεν είναι εναλλάξιμα, και το καθένα αποτυγχάνει διαφορετικά όταν αλλάζει η σήραγγα.
Τρεις επισκευές, τρία επίπεδα
Κάθε επιλογή παρακάτω διορθώνει τη ροή για διαφορετικό λόγο, και η λάθος επιλογή παράγει σύνδεση που λειτουργεί μέχρι την επόμενη αλλαγή πύλης.
| Repair | Layer it changes | What it does not fix |
|---|---|---|
| Add the egress address to the rule | Source address matching | Nothing about routing, and it breaks when the egress moves |
| Use a private endpoint | Whether the service is reached privately | A client that still resolves the public name |
| Add a split-tunnel exception | Which flows bypass the tunnel | An expired credential or a wrong password |
Η προσθήκη της διεύθυνσης εξόδου είναι η μικρότερη αλλαγή και η πιο εύθραυστη, γιατί μια νέα πύλη ή διαφορετική περιοχή την ακυρώνει σιωπηρά. Τεκμηριώστε τη διεύθυνση δίπλα στον ορισμό της σήραγγας ώστε τα δύο να κινούνται μαζί. Ένα προσωρινό ευρύ φάσμα είναι διάγνωση, όχι επισκευή· το να το αφήσετε στη θέση του είναι ο τρόπος με τον οποίο οι εσωτερικές υπηρεσίες καταλήγουν εκτεθειμένες.
Γιατί μια διαχειριζόμενη πλατφόρμα δεν μπορεί να ενταχθεί στη σήραγγα
Πλατφόρμες εφαρμογών όπως το Heroku, το AppHarbor ή το CloudBees εκτελούν τον κώδικά σας σε περιβάλλον χωρίς συσκευή tun ή tap και χωρίς δικαιώματα να δημιουργήσουν μία. Το μοντέλο εισόδου τους είναι HTTP και όχι μια αυθαίρετη υποδοχή ακρόασης. Ένα buildpack που μεταφέρει ένα δυαδικό VPN εξακολουθεί να μην έχει πού να βάλει τη διεπαφή. Τα βιώσιμα μοτίβα είναι μια στατική διεύθυνση εξόδου που μπορεί να επιτρέψει η βάση δεδομένων, ένα προϊόν ιδιωτικής σύνδεσης που προσφέρει η πλατφόρμα ή ένας διαμεσολαβητής σε DMZ στον οποίο φτάνετε μέσω HTTPS.
Αυτός ο διαμεσολαβητής είναι μια διαδρομή πρόσβασης με δική της ταυτοποίηση και καταγραφή. Δεν κάνει την πλατφόρμα μέλος του VPN σας, και η περιγραφή της έτσι παράγει κανόνες που κανείς δεν μπορεί να ελέγξει.
Επαληθεύστε από τον πελάτη που απέτυχε
Συνδεθείτε ξανά και επαναλάβετε την ακριβή διαδρομή του πελάτη. Ελέγξτε τη διεύθυνση προέλευσης που καταγράφει η υπηρεσία, τη διαδρομή που επιλέγει ο πελάτης για το όνομα της βάσης δεδομένων και το αποτέλεσμα του πραγματικού ερωτήματος, με αυτή τη σειρά. Μια δοκιμή από την πύλη αποδεικνύει ότι η πύλη λειτουργεί, κάτι που δεν αμφισβητήθηκε ποτέ. Αν η σύνδεση πλέον ταυτοποιείται και το ερώτημα εξακολουθεί να αποτυγχάνει, το υπόλοιπο πρόβλημα είναι το δικαίωμα στη βάση δεδομένων.
Ελέγχετε αυτούς τους κανόνες κάθε φορά που αλλάζει η σήραγγα. Μια αντικατεστημένη πύλη ή ένα νέο εύρος εξόδου σπάει τη διαδρομή χωρίς καμία αλλαγή στη διαμόρφωση της εφαρμογής.