SQL üle VPN-i: otseklient või sisemine tööjaam?

Meeskonnad tahavad SSMS-i oma sülearvutitesse ja kiire lahendus on avaldada SQL-i port VPN-i pooli. Aeglasem vastus küsib, kus peaks klientprotsess töötama, sest otsene juurdepääs ja sisemine tööjaam tekitavad erinevad lähteaadressid, lõpp-punkti usalduse ja andmeteed. Kumbki pole automaatselt turvaline ja ainuüksi VPN-i liikmelisus ei otsusta midagi. Võrrelge lahendusi enne, kui lubamisreegel olemas on.

Kaks teed, kaks lähteaadressi

Otsese juurdepääsu korral kannab sülearvuti kliendikonfiguratsiooni ja avab andmebaasiühenduse ise. Kaugtööjaama korral avab sülearvuti töölaua sessiooni ja tööjaam teeb SQL-i ühenduse oma aadressilt. Seega näeb andmebaas esimeses lahenduses VPN-i pooli või tõlgitud lüüsi ja teises tööjaama aadressi. See erinevus otsustab, milline tulemüürireegel ja milline SQL-i õigus tegelikult kehtivad.

Sülearvuti juhib endiselt kaugsessiooni, seega ei asenda tööjaam kasutaja autentimist ega sessioonipoliitikat.

Kontrollige, mida andmebaas tegelikult näeb

Lähteaadress on mõõdetav, mitte diagrammist tuletatav. Lugege seda aktiivse ühenduse serveripoolel.

Test-NetConnection sql.example.com -Port 1433
sqlcmd -S tcp:sql.example.com,1433 -N -d appdb -Q "select SUSER_SNAME() as login_name, DB_NAME() as db"

Ühenduvustest tõestab, et kuulaja võtab vastu TCP-d sellest võrgust, samas kui päring tõestab, millise sisselogimiseni ja andmebaasini sessioon jõudis. Serveri salvestatud aadressi nägemiseks tehke päring sys.dm_exec_connections kohta praeguse sessiooni jaoks; see tagastab kliendi aadressi pärast mis tahes tõlget. Kui see väärtus on lüüs, mitte sülearvuti, ei saa kasutajapõhine hostireegel andmebaasimasinas töötada. Kirjutage vaadeldud väärtus valitud lahenduse kõrvale, sest taasühendused ja pooli muudatused liigutavad seda.

Avage kuulaja ja mitte midagi lisaks

Avage ainult teenus, mida juurutus vajab. Tuntud 1433 on vaikimisi eksemplari port, mitte universaalne konstant.

Get-NetTCPConnection -State Listen -LocalPort 1433

Nimega eksemplarid kuulavad sageli dünaamilisel pordil, kusjuures SQL Server Browser vastab avastamisele UDP 1434 kaudu, ja see sõltuvus on eraldi risk, mida tuleb põhjendada. Eksemplari jaoks fikseeritud pordi kinnitamine eemaldab Browseri vajaduse ja muudab tulemüürireeglid stabiilseks. Jätke kliendi juba tehtavad krüpteerimis- ja sertifikaadikontrollid alles, selle asemel et need testi läbimiseks välja lülitada. Seejärel andke töökoormusele andmebaasirollid, selle asemel et lisada kogu VPN-i grupp serverirolli.

Tõestage lubatud tee ja keelatud tee

Avage uus sessioon tavalise kinnitatud kasutajana ja kinnitage serveri identiteet, andmebaas ja nõutav toiming. Seejärel kinnitage välistus: poliitikaväline allikas või konto peab samas testis läbi kukkuma. Tööjaama lahenduse puhul kontrollige, et sülearvuti ei saa piirist mööda minna andmebaasi otse kätte saades. Otsese juurdepääsu puhul kontrollige, et marsruut ja lähteallika reegel kehtivad pärast taasühendust endiselt.

Kirjutage üles, kus klient töötas, millist allikat andmebaas nägi ja milline reegel seda lubas. See on tõend, mida järgmine ülevaatus küsib.