Kas kommertslik VPN blokeerib pordi 5432? Võrrelge valikuid

Rakendus suhtles oma andmebaasiga kontorist iga päev. Siis lülitas keegi samas sülearvutis sisse kommertsliku VPN-kliendi ja ühendus hakkas pärast käepigistust lähtestuma. Rakenduses ei muutunud midagi, tunnel teatab, et on terve, ja tulemüüril, mida te kontrollite, pole ühtegi blokeerimisreeglit. Muutus väljumistee: teenusepakkuja serverid on jagatud suure mahuga lõpp-punktid ja pakkujad filtreerivad väljuvaid porte kuritarvitamise vähendamiseks. Andmebaasi- ja meilisaatmise pordid saavad sellest suurima osa, sest just need pordid tõmbavad ligi skaneerimist ja rämpsposti anonüümsest aadressikogumist.

Viie minuti test, mis eraldab filtreerimise kõigest muust

Samas masinast kontrollige ühte porti, mis peab olema avatud, ja porti, mis nurjub, samas hostis, tunnel sisse lülitatud ja seejärel välja lülitatud. Kasutage mõlemal korral sama käsku, et ainus muutuja oleks tunnel:

Test-NetConnection db.example.com -Port 443
Test-NetConnection db.example.com -Port 5432
nc -vz -w3 db.example.com 5432

Neli tulemust katavad peaaegu kõik juhtumid. Kui 443 töötab ja 5432 nurjub ainult tunneliga, näete väljumistee pordifiltreerimist. Kui mõlemad nurjuvad tunneliga ja mõlemad töötavad ilma selleta, on probleem marsruutimises või DNS-is, mitte pordipoliitikas. Kui mõlemad pordid ühenduvad, kuid rakendus ikka nurjub, on viga autentimises või TLS-is, mitte kättesaadavuses. Ja kui nurjub ainult üks pakkuja serveri asukoht, on see serveripõhine poliitika, seega proovige teist asukohta enne mis tahes konfiguratsiooni puutumist.

Valik üks: jaotatud tunnel andmebaasi alavõrgu jaoks

Kui sülearvuti vajab kommertslikku VPN-i ainult muuks otstarbeks, jätke andmebaasi aadressivahemik tunnelist välja, et liiklus ei siseneks kunagi jagatud väljumisse. See on puhtaim valik, kui kaks teed tõesti ei pea kohtuma, ja see ei maksa midagi peale marsruutimisreegli, mille saate dokumenteerida. Kompromiss on see, et jaotatud tunnel toob sisse teise poliitikapinna: see, mis on tunnelist välja jäetud, peab olema teadlik, mitte alavõrgu kõrvalmõju, mille keegi hiljem lisas.

See lakkab töötamast hetkel, mil andmebaas asub võrgus, kuhu VPN peaks jõudma, seega kontrollige seda enne, kui sellega nõustute.

Valik kaks: teie enda lõpp-punkt, teie enda väljund

Väikese VPN-i lõpp-punkti käitamine VPS-is annab teile väljundipoliitika kontrolli ja jagatud kogumit ei kaasata. See on valik, mida tasub ausalt võrrelda kommertskliendiga: võidate prognoositava lähteaadressi ja kaotate pakkuja ülemaailmse jalajälje ja mugavuse. Meeskonnale, kes vajab andmebaasi- ja meiliporte kogu päeva, kaldub kompromiss tavaliselt lõpp-punkti omamise kasuks, sest tõrkerežiimiks saab teie enda vale konfiguratsioon, mitte kellegi teise kuritarvitamispoliitika.

Võrrelge neid lähteaadressi stabiilsuse, selle järgi, kes pääseb teie liiklust lugema, ja selle järgi, mis juhtub päeval, mil lõpp-punkti pakkuja muudab oma filtreerimist.

Valik kolm: viige sülearvuti teelt välja

CI-töö, ajastatud konteiner või bastion-host lubatud võrgu sees ei sõltu inimese tunneli olekust. Jõudke andmebaasini SSH-tunneli kaudu hostist, mis on juba lubatud, ja sülearvuti ei räägi kunagi pordiga otse. See on valik, mis skaleerub, kui mitu inimest tabab sama piirangut, ja see on ka see, mis kõrvaldab probleemi selle ringi minemise asemel.

See nõuab rohkem eeltööd kui jaotatud tunneli reegel ja ei aita seda ühte inimest, kes vajab praegu interaktiivset seanssi.

Miks pakkuja aadressi lubatud loendisse panemine on vale võrdlus

Pakkuja väljumisaadressi lisamine andmebaasi lubatud loendisse töötab ja annab juurdepääsu ka kõigile teistele tellijatele, kes seda aadressi sel hetkel jagavad. Kitsalt antud rakendusekonto taga oleva kirjutuskaitstud koopia puhul võib kokkupuude üheks päevaks talutav olla. Kõige kirjutatava puhul ei ole see kompromiss, mida tasub nimetada, ja pöörlevad väljumisaadressid teevad selle hullemaks: iga serverimuudatus rikub reegli ja hooldus kutsub esile laiad CIDR-kirjed, mis nullivad lubatud loendi mõtte.

Spetsiaalsed või staatilised aadressid, kui pakkuja neid müüb, on ainus selle versioon, mis skaleerub. Siduge lubatud loend aadressiga, mis on ainult teie oma, või ärge siduge seda üldse.

Mida iganes te valite, kirjutage tee ja põhjus üles. Järgmine inimene kohtab sama lähtestuvat ühendust ja hakkab rakendust süüdistama.