Ĉu komerca VPN blokas pordon 5432? Komparu viajn eblojn

La aplikaĵo parolis kun sia datumbazo el la oficejo ĉiutage. Poste iu ŝaltis la komercan VPN-klienton sur la sama tekkomputilo, kaj la konekto komencis resetiĝi post la manpremo. Nenio en la aplikaĵo ŝanĝiĝis, la tunelo raportas sin sana, kaj la fajroŝirmilo, kiun vi kontrolas, havas neniun blokan regulon. Kio ŝanĝiĝis estas la elira vojo: la serviloj de la provizanto estas komunaj finpunktoj kun alta trafiko, kaj provizantoj filtras elirajn pordojn por redukti misuzon. La pordoj de datumbazoj kaj de sendo de poŝto ricevas la plej grandan parton, ĉar tiuj estas la pordoj, kiuj altiras skanadon kaj spamon el anonima adresaro.

La kvinminuta testo, kiu apartigas filtradon de ĉio alia

El la sama maŝino, testu unu pordon, kiu devas esti malfermita, kaj la pordon, kiu malsukcesas, sur la sama gastiganto, kun la tunelo ŝaltita kaj poste malŝaltita. Uzu la saman komandon ambaŭfoje, por ke la sola variablo estu la tunelo:

Test-NetConnection db.example.com -Port 443
Test-NetConnection db.example.com -Port 5432
nc -vz -w3 db.example.com 5432

Kvar rezultoj kovras preskaŭ ĉiun kazon. Se 443 funkcias kaj 5432 malsukcesas nur kun la tunelo ŝaltita, vi vidas pordan filtradon sur la elira vojo. Se ambaŭ malsukcesas kun la tunelo ŝaltita kaj ambaŭ funkcias sen ĝi, la problemo estas enkursigado aŭ DNS, ne porda politiko. Se ambaŭ pordoj konektiĝas sed la aplikaĵo ankoraŭ malsukcesas, la kulpo estas aŭtentikigo aŭ TLS, ne atingeblo. Kaj se nur unu servila loko de la provizanto malsukcesas, temas pri politiko por servilo, do provu alian lokon antaŭ ol tuŝi ajnan agordon.

Opcio unu: dividita tunelo por la subreto de la datumbazo

Se la tekkomputilo bezonas la komercan VPN nur por aliaj celoj, ekskludu la adresaron de la datumbazo el la tunelo, por ke la trafiko neniam eniru la komunan eliron. Ĉi tio estas la plej pura opcio kiam la du vojoj vere ne devas renkontiĝi, kaj ĝi kostas nenion krom enkursiga regulo, kiun vi povas dokumenti. La kompromiso estas, ke dividita tunelado enkondukas duan politikan surfacon: tio, kio estas ekskludita el la tunelo, devas esti intenca, ne flanka efiko de subreto, kiun iu aldonis poste.

Ĝi ĉesas funkcii en la momento, kiam la datumbazo loĝas ene de la reto, kiun la VPN devus atingi, do kontrolu tion antaŭ ol sin devontigi.

Opcio du: via propra finpunkto, via propra eliro

Funkciigi malgrandan VPN-finpunkton sur VPS metas la eliran politikon sub vian kontrolon, kaj neniu komuna naĝejo partoprenas. Ĉi tio estas la opcio inda je honesta komparo kun la komerca kliento: vi gajnas antaŭvideblan fontadreson kaj perdas la tutmondan spuron kaj oportunon de la provizanto. Por teamo, kiu bezonas datumbazajn kaj poŝtajn pordojn la tutan tagon, la kompromiso kutime favoras posedi la finpunkton, ĉar la fiaskmaniero fariĝas via propra malĝusta agordo anstataŭ la misuzpolitiko de iu alia.

Komparu la du laŭ stabileco de la fontadreso, laŭ kiu povas legi vian trafikon, kaj laŭ tio, kio okazas en la tago, kiam la provizanto de la finpunkto ŝanĝas sian propran filtradon.

Opcio tri: eligu la tekkomputilon el la vojo

CI-laboro, planita ujo aŭ bastiona gastiganto ene de la permesita reto ne dependas de la tunela stato de homo. Atingu la datumbazon per SSH-tunelo el gastiganto, kiu jam estas permesita, kaj la tekkomputilo neniam parolas rekte al la pordo. Ĉi tio estas la opcio, kiu skaliĝas kiam pluraj homoj trafas la saman limigon, kaj ĝi ankaŭ estas tiu, kiu forigas la problemon anstataŭ ĉirkaŭiri ĝin.

Ĝi postulas pli da antaŭa laboro ol regulo de dividita tunelo, kaj ĝi ne helpas la solan personon, kiu bezonas interagan seancon ĝuste nun.

Kial meti la adreson de la provizanto en permesliston estas la malĝusta komparo

Aldoni la eliran adreson de la provizanto al datumbaza permeslisto funkcias, kaj ĝi ankaŭ donas aliron al ĉiu alia abonanto, kiu dividas tiun adreson en tiu momento. Por legosola repliko malantaŭ strikte donita aplikaĵa konto, la elmeto povus esti tolerebla dum unu tago. Por io ajn skribebla ĝi ne estas kompromiso inda je nomo, kaj rotaciaj eliraj adresoj plimalbonigas ĝin: ĉiu servila ŝanĝo rompas la regulon, kaj la prizorgado invitas larĝajn CIDR-erojn, kiuj nuligas la celon de permeslisto.

Dediĉitaj aŭ statikaj adresoj, kie la provizanto vendas ilin, estas la sola versio de ĉi tio, kiu skaliĝas. Ŝlosu la permesliston al adreso, kiu estas nur via, aŭ tute ne ŝlosu ĝin.

Kion ajn vi elektos, skribu la vojon kaj la kialon. La sekva persono renkontos la saman resetiĝantan konekton kaj komencos kulpigi la aplikaĵon.